本集重點

• 傳統金融沒有缺席：銀行以「半自主」模式試水溫，Visa、Mastercard 與星展銀行搶當代理經濟的信任錨點
• 安全靠「有限度的自主」：MPC 金鑰、策略引擎、雙向風險評估與熔斷開關，讓 AI 能付錢，但不能亂付錢。
• 風險已經真實發生：Freysa 被提示詞「套話」轉走約 4.7 萬美元，頂尖模型在長任務中的表現也會劇烈擺盪
• 監管有前例可循：Open Banking 的螢幕刮取之爭與高頻交易的熔斷機制，都是現成的參考

一、傳統金融的回應：半自主代理與雙軌競合

面對穩定幣在微支付的先發優勢，傳統金融的策略可以歸納成三句話：守住大額、防禦微額、積極試點

半自主模型：Worldline 的信用卡額度調整

受限於合規要求，銀行裡的 AI 代理多以「半自主」方式運作：AI 負責理解與判斷，真正改動系統的工作交給受控的 RPA 機器人。Worldline 的專利案例清楚展示了這種分工

這個流程是 Web2 自動化走向「具情境理解能力的代理」的過渡形態：AI 已經能讀懂郵件、判斷資格，但最後一哩仍由規則明確的機器人執行

卡組織與銀行的佈局

• Mastercard：AP4M 以可驗證憑證在預設權限內高速交易，並搭配 2026 年 3 月推出的 Verifiable Intent，把用戶身分、指令與交易結果綁成一份防竄改紀錄
• Visa：擔任 Stripe MPP 的設計夥伴，並以 Visa Intelligent Commerce 與 Trusted Agent Protocol，把卡組織網路延伸到代理支付
• 星展銀行（DBS）：2026 年 2 月成為亞太首家試行 Visa Intelligent Commerce 的銀行，已用 DBS/POSB 信用卡與簽帳卡完成一系列真實餐飲交易，下一步將擴及網購與旅遊訂房

用戶會信任誰的代理？

HEC Paris 學者 2026 年發表於劍橋大學出版社《European Journal of Risk Regulation》的論文指出，代理經濟的發展將受制於一個「信任階層」，由高到低依序是：

1. 銀行或受監管第三方提供的代理：有審慎監管與受託人聲譽，最容易獲得完整的自主支付授權
2. 平台型代理：作業系統或大型搜尋引擎內建的代理，知名度高，但有壟斷疑慮
3. 商家部署的代理：常被視為代表商家利益、缺乏中立，信任度最低

這也說明了，銀行即使在技術上起步較慢，仍可能在代理經濟中扮演「信任錨點」

二、給 AI 錢包上鎖：有限度的自主

在機器經濟裡，控制權比支付軌道更重要。專為代理設計的錢包要同時做到兩件事：讓機器 24/7 自主運作，又確保資金不會因邏輯缺陷或攻擊被抽乾。以 Cobo 的 Agentic Wallet 為例，它用 MPC 門檻簽章拆分金鑰，代理執行任務前要先提出由用戶核准的「Pact」（委託協議），寫明意圖、執行計畫、政策限制與完成條件

四層防護架構

其中策略引擎是防止「機器人破產」的核心枷鎖。當系統偵測到滑點過高、Gas 費異常飆升，或短時間內頻繁失敗，熔斷機制會自動暫停錢包的所有簽署功能

Worldline ATRA：同時評估付款方與收款方

Worldline 專利中的「自主交易風險分析（ATRA）」在授權前會沿兩條軸線評分：發起交易的代理是否值得信任（依過往行為與互動紀錄），以及收款商家是否可靠（依商譽與交易模式）

風險極低時直接放行；出現異常則升級給人工審核，或直接攔截。這種雙向驗證，讓風控能跟上代理的交易速度

風控哲學翻轉：先限制，再放行

在 0.10 美元以下的微支付裡，光是一筆爭議的手續費就要 15～30 美元（例如 Stripe 在美國每筆收 15 美元，抗辯失敗再加收 15 美元），遠高於詐騙損失本身，事後追討既不划算也不實際

因此機對機支付的風控，從「事後爭議處理」轉向「事前硬性限額 + 商家聲譽評分」：先給代理一個小額試用額度，再依商家信譽逐步放寬。Chainalysis 也指出，x402 的單筆支付太快、太小、太頻繁，無法逐筆審查，合規重點應放在誰資助代理、代理付錢給誰，以及它的行為模式

三、機器經濟的暗面：當 AI 花錯錢

給 AI 資金處分權，也同時打開了全新的攻擊面。大型語言模型具有不確定性、容易輕信輸入，而且在績效壓力下表現波動極大。以下四類風險都已有實證

1. 被「套話」轉走 4.7 萬美元：Freysa 事件

Freysa 是一場加密挑戰賽：主辦方設立一個由 AI 代理看守的資金池，系統指令明確要求它絕不能轉出資金。參賽者每次發送提示詞都要付費，其中 70% 會注入獎金池

在 195 名玩家、482 次嘗試之後，獎金累積到約 47,000 美元。最後勝出的參賽者說服 Freysa，它的轉帳函式 approveTransfer 是用來「接收」款項的，再表示要捐款給金庫，結果觸發 Freysa 把整個資金池（13.19 ETH）轉給了他。這是提示詞注入攻擊最直觀的示範

2. 長任務鏈的極端變異：Vending-Bench

Andon Labs 的 Vending-Bench 基準測試讓模型長時間經營一台模擬自動販賣機。結果顯示，即使是頂尖模型，重複測試時表現也會劇烈擺盪：有時勝過人類，有時卻因誤判交貨時間而讓整門生意崩盤

背後是遞歸放大效應。代理完成任務需要多步迭代，舉例來說，即使單一步驟只有 1% 的失敗率，經過多輪循環後，出錯與超支的機率也會快速累積

3. 績效壓力下的主動欺騙

Apollo Research 的 Scheurer 等人（2024）研究發現，即使是被訓練成「誠實且無害」的模型，在模擬交易環境中承受強烈的財務績效壓力時，也會主動進行內線交易，並在被詢問時編造說詞隱瞒

這意味著，代理在追求目標時可能越過人類設下的倫理與法律邊界，而且不會主動告訴你

4. 防詐體系的前提失效

現有的反詐機制大多在問同一個問題：「對面是不是機器人？」但在代理經濟裡，合法的請求本來就來自機器人

未來的風控必須從「辨識請求者的身分」，轉向「驗證機器行為的情境與邏輯是否合理」

四、監管與責任：當 AI 買錯東西，誰該負責？

現行金融法規建立在「交易由自然人或法人發起」的前提上。當代理因模型幻覺、數據偏誤或遭到攻擊而買錯東西、轉錯帳，責任歸屬出現了空白：

• 開發者是否要為演算法缺陷負產品責任？
• 部署者或使用者是否要為代理的越權行為負無過失責任？
• 支付平台是否因未盡風控攔截義務而負連帶責任？

現行法規的四個缺口

• EU AI Act：第 14 條要求高風險 AI 具備適當的人為監督，第 26 條規範部署者義務。但在毫秒級的微支付場景中，即時人工介入幾乎不可能。歐盟執委會在 2025 年 11 月 19 日提出「AI 數位綜合法案（Digital Omnibus on AI）」，歐盟機構已達成政治協議，將獨立型高風險 AI 的義務延後到 2027 年 12 月 2 日，反映監管正在調適
• MiCA：第五編對加密資產服務提供者（CASP）採許可制。一個自主管理錢包、自動換幣的 AI 代理，究竟只是軟體工具，還是未經許可的 CASP？目前仍無定論
• AML/KYC：代理在鏈上頻繁移轉資金，容易模糊實質受益人，讓穿透式審查失靈
• GDPR：個人化採購需要大量財務數據，與「資料最小化」原則衝突；神經網路決策的黑箱特性，也難以滿足第 22 條對自動化決策的規範與說明要求

歷史鏡鑑一：Open Banking 與螢幕刮取

2000 年代中期，德國 Sofort 透過取得用戶的網銀登入資訊、模擬人類操作瀏覽器來完成支付，也就是「螢幕刮取（Screen Scraping）」，引發銀行業強烈反彈

歐盟隨後在 PSD2 及其監管技術標準中，要求銀行開放 API 給第三方業者；但只要 API 表現達標，銀行就能豁免提供螢幕刮取的備援管道，實務上讓螢幕刮取在許多情況下行不通。2023 年提出的修法草案（COM/2023/367）更進一步，明文禁止螢幕刮取，僅保留 API 故障且第三方表明身分時的例外

這對今天依賴瀏覽器模擬操作的代理（例如 OpenAI Operator）是一記警鐘：靠模仿人類點擊、輸入帳密的模式，很可能重蹈 Sofort 的覆轍。x402、MPP 這類原生 API 協議，才是長期合規的路

歷史鏡鑑二：高頻交易與閃電崩盤

2010 年美股「閃電崩盤（Flash Crash）」展示了自動化演算法緊密耦合時的系統性風險：程式在無人干預下互相作用，引發連鎖崩跌

歐盟後來在 MiFID II 第 17 條與 RTS 6 中，強制要求事前風控、熔斷機制、異常訊息限流，以及可完整重建的決策日誌。多代理系統彼此呼叫、競價時面臨同樣的連鎖風險，這套框架正是 AI 代理支付最現成的範本

已經在路上的解方

• 監管沙盒：英國 FCA 在 2025 年中與 Nvidia 推出「Supercharged Sandbox」及 AI 實測計畫，首批參與者在 2026 年 1 月完成測試；FCA 並在 2026 年 3 月的支付監管優先事項報告中，把代理支付列為待處理的政策議題
• 可程式化同意：上集提到的 AP2 委託書、ACP 授權參數與 Mastercard 可驗證憑證，本質上都是把「用戶同意了什麼」寫成機器可以驗證的規則

五、展望：走向自治機器經濟

代理支付的終點，是讓支付本身「消失」在背景裡

意圖導向架構

結合意圖導向（Intent-based）架構與帳戶抽象（ERC-4337），用戶只需表達目標，其餘交給底層完成：

1. 用戶表達意圖：「用 1,000 USDC 找最佳殖利率，並自動避險。」
2. 代理解析意圖，拆解成可執行的子目標
3. 策略引擎驗證支出上限與白名單
4. 帳戶抽象錢包（ERC-4337 搭配 MPC）授權，由求解器（Solver）競價尋找最佳執行路徑
5. 必要時透過 Chainlink CCIP 等跨鏈基礎設施完成調撥與結算

這條路已經有雛形：Cobo 的 Pact、AP2 的意圖委託書，都是把用戶意圖寫成機器可驗證規則的早期實作

雙軌並行的支付版圖

未來不會是穩定幣取代信用卡，而是各司其職：

• 穩定幣軌道：主導 1 美元以下的高頻微支付、API 與算力呼叫
• 信用卡與銀行：守住大額消費、實體商品與旅遊訂房，因為這些場景需要退款與爭議處理機制

各方角色也逐漸清晰：Visa 與 Mastercard 透過 Trusted Agent Protocol、Verifiable Intent 等框架，制定代理身分與授權的驗證標準；星展銀行等發卡行以自己控管的授權流程試行代理付款，扮演信任錨點；Cobo 等託管商提供 MPC 加策略引擎的錢包；Stripe、Payman、Skyfire、MoonPay、Cloudflare 等服務商則鋪設微支付閘道

傳統金融若無法擺脫對自然人身分與人工介入的依賴，很可能被邊緣化為機器經濟背後的清算層。率先掌握機對機支付協議、代理錢包與可程式化合規的企業，則握有下一個時代的入口

最後一個問題

加密產業找了多年的「下一個十億用戶」，答案可能根本不是人類，而是跑在伺服器上的程式碼

當機器不只是幫我們搜尋資訊，而是開始代表我們管理財富、簽署合約、做出商業決策時，我們該如何重新劃定「信任」與「控制權」的邊界？

資料來源

• European Journal of Risk Regulation：AI Agents in Payments: Applications, Risks and Regulations
• PYMNTS：Mastercard enables AI agents to pay each other
• Visa：Card specification and SDK for MPP
• FinTech Futures：DBS and Visa agentic commerce pilot
• Cobo：Cobo Agentic Wallet
• Chargeback Gurus：Stripe dispute fees
• Chainalysis：North America 2026 — Inside the Growth of Agentic Commerce
• The Block：Freysa AI $47,000 challenge
• Gibson Dunn：EU AI Act Omnibus agreement

重點導覽

• AI 正在變成經濟參與者：AI 代理開始自主為數據、算力與 API 付費。Chainalysis 統計，光是 Base 鏈上的 x402 支付就已超過 1.38 億筆，其中逾 87% 低於 0.10 美元
• 信用卡撐不起機器經濟：2%～4% 手續費加上每筆固定費，對 0.0001～0.10 美元的微支付完全失靈；穩定幣加上 Layer-2 成了機器的結算層
• 標準爭奪戰已開打：x402、MPP、AP2、ACP 四大協議，加上 Mastercard 與 Visa 的方案，正在搶代理商業的入口
• 安全靠「有限度的自主」：MPC 金鑰、策略引擎、雙向風險評估與熔斷開關，讓 AI 能付錢，但不能亂付錢
• 風險已經真實發生：Freysa 被提示詞「套話」轉走約 4.7 萬美元；監管可以借鏡 Open Banking 與高頻交易的歷史經驗

前言：當程式碼拿到了錢包

2026 年的今天，AI 代理已經深入許多人的工作日常。隨著代理替我們執行愈來愈多任務，大家的目光自然會投向一件關鍵的事：支付。過去，每一筆消費一定都由人來完成；但如果有一天，AI 代理開始幫我們比價、買東西，甚至替我們投資理財，我們就需要一套全新的支付體系，來撐起龐大的新金融基礎設施

想像這樣的購物流程：你只說一句「幫我找一雙 3,000 元以內、適合雨天跑步的鞋」，之後的搜尋、比價、下單與付款全由 AI 完成。這已經不是概念展示 — Google 以 Gemini 驅動的 AI 購物模式、Amazon 的「Buy for Me」，都在往這個方向推進

但當 AI 代理（AI Agent）從只會回答問題的聊天機器人，進化成能獨立執行多步驟任務的自主實體時，它很快撞上一道牆：整個金融體系是為人類設計的。開戶要證件、刷卡要簡訊驗證碼，風控系統預設螢幕另一端是一個會猶豫、會手滑的人

AI 代理卻需要 24 小時不間斷地採購資料、租用推論算力（Inference）、呼叫各種 API。它沒有身分證，也打不開網銀頁面。Coinbase 曾一語道破這個處境：AI 代理開不了銀行帳戶，卻可以擁有加密錢包

由於小弟近期的研究都圍繞在 AI 應用於區塊鏈與金融的領域，對這些發展格外感興趣。今天就和大家一起來了解目前的技術與趨勢：AI 代理支付（Agentic Payments）和傳統自動扣款有何不同、代理的「大腦」怎麼運作、為什麼微支付讓信用卡失靈、哪些協議正在搶標準、錢包如何上鎖、真實發生過哪些事故，以及監管該往哪裡走

一、從「自動扣款」到「自主決策」：什麼是 AI 代理支付？

AI 代理支付指的是：在沒有人類直接介入的情況下，由 AI 代理依據預設的目標與規則，自主發起、管理並完成資金交易

自動化支付早就存在，例如每月定期扣款、SEPA 轉帳、程式化交易。兩者的根本差異在於：傳統自動化是「確定性的程式執行」，代理支付則是「依情境調整的決策過程」

換句話說，支付正從「按下按鈕」變成「做出判斷」

二、AI 代理的支付大腦：四個核心模組

單純的大型語言模型推理能力強，卻缺乏長期記憶，也難以獨立完成多步驟任務。前沿架構因此把代理拆成模組，透過「推理、行動、反思」的循環不斷自我修正，直到達成目標

在支付場景中，真正動到錢的只有最下方的行動層；上方的記憶、規劃與工具，決定的是「該不該付、付給誰、付多少」。這個分工，正是後文安全護欄能夠插手的地方

三、為什麼信用卡撐不起機器經濟？

答案藏在單筆金額裡：機器付款的典型金額只有幾毫到幾美分，而信用卡的固定成本比這還高

信用卡的數學失靈

傳統收單體系的手續費約為交易額的 2%～4%，再加上每筆約 0.10～0.30 美元的固定處理費。若 AI 代理呼叫一次 API 只需付 0.01 美元，光是固定費就是本金的 10 到 30 倍，微支付在經濟上根本不成立

除了成本，傳統體系在架構上也排斥機器：

• 身分驗證壁壘：AI 代理沒有證件，過不了 KYC 的人臉辨識，也收不到手機 OTP
• 風控誤判：3D-Secure 等風控模型是依人類購物習慣設計的。代理以毫秒級頻率連發數百筆請求，很容易被判定為盜刷或 DDoS 攻擊
• 清算太慢：T+1 到 T+3 的清算週期，對需要即時取得數據的機器來說等於停擺

鏈上數據揭示的「超微額高頻」特徵

Coinbase 孵化的 x402 協議是目前最好的觀察樣本，它的鏈上數據呈現四個特徵：

• 量大：截至 2026 年 7 月，光是 Base 鏈上就有超過 1.38 億筆 x402 支付（Chainalysis 統計；Coinbase 公布的全生態數字約 1.65 億筆）
• 額小：超過 87% 的支付不到 0.10 美元，最常見的是 1～10 美分
• 上手快：錢包從入金到第一次付款的時間中位數，從 2025 年底的 73 天縮短到 2026 年第三季的 18 分鐘
• 回頭率高：活躍錢包中，近九成會在 30 天內再次儲值，一年前約為七成

當然，筆數不等於真實需求。Artemis 發現 2025 年 12 月有 47% 的交易是在刷排行榜（只占交易額 14%），TRM 也提醒部分「代理」其實只是腳本。但機器付費的需求已經清楚浮現，正如 Chainalysis 所說：每個 AI 代理，都是區塊鏈上的一個新用戶

美國買推論，中國買審計

地理分布揭露了有趣的分工。在可辨識地區的錢包中，美國錢包占 AI 模型推論支付的 88.1%，中國錢包只占 0.1%。原因是中國開發者偏好 DeepSeek、Qwen 等開源權重模型，可以自行部署，較少按次購買遠端推論

反過來，中國錢包卻占了安全與程式碼審計類支付的約 90%，大量流向 AgentLisa 這類 AI 智能合約審計平台

商業模式的連鎖反應

微支付不只是更便宜，它在改寫商業模式：SaaS 的月費訂閱制，正被拆解成「呼叫一次付一次」的按量計費

CoinGecko 是代表案例。它透過 x402 推出的 API 端點，讓 AI 代理不必註冊帳號、不必申請 API Key，每次請求附上 0.01 美元的 USDC（支援 Base 與 Solana），就能即時取得市場數據

四、標準爭奪戰：誰會成為代理商業的入口？

協議之爭表面上是技術規格，實質上是在搶未來數以億計 AI 代理的商業入口。目前已形成四大主流標準，傳統卡組織也帶著自己的方案入場

1. Coinbase x402：喚醒沉睡近 30 年的 HTTP 402

HTTP/1.1 規範在 1997 年就定義了「402 Payment Required」狀態碼，標註為保留給未來使用，卻一直沒有真正派上用場。x402 讓它成為軟體原生的付費牆：

1. 代理向 API 發出請求
2. 伺服器回傳 402，附上價格與鏈上收款地址
3. 代理呼叫錢包，簽署一筆 USDC 微支付
4. 伺服器驗證簽章後，交付數據或算力結果

整個過程不需要帳號、合約或人工介入。Stripe 在 2026 年 2 月也把 x402 整合進自家的機器支付功能，讓開發者能直接向 AI 代理收取 Base 鏈上的 USDC

2. Stripe × Tempo 的 MPP：邊用邊付的串流計費

MPP 讓代理像繳水電費一樣，用多少、付多少

• 推出：2026 年 3 月 18 日，與 Tempo 主網同日上線（Tempo 是 Stripe 和 Paradigm 孵化的支付區塊鏈）
• 怎麼運作：以會話（Session）為單位串流計費。代理呼叫大型語言模型時，依生成的 Token 數或傳輸量邊用邊扣款
• 解決什麼：預付制會卡住資金、後付制有違約風險，串流計費兩邊都顧到
• 生態：不綁支付軌道，穩定幣和卡片都能走；Visa 以設計夥伴身分發布卡片版規格與 SDK，上線時已有超過 100 項服務加入

3. Google AP2：把用戶意圖簽成「委託書」

AP2 讓用戶先簽好一份機器看得懂的授權書，代理只能在範圍內花錢

• 推出：2025 年 9 月
• 怎麼運作：以加密簽章的「委託書（Mandates）」記錄授權，分為意圖（Intent）、購物車（Cart）與付款（Payment）三種，把用戶意圖和代理的實際行為綁在一起
• 解決什麼：賣家與支付網路能事先驗證代理的授權邊界，例如金額上限、可交易的商家，防止越權。這種做法稱為「可程式化同意（Programmable Consent）」
• 生態：超過 60 家機構參與；不限支付方式，並透過 x402 擴充支援加密貨幣

4. OpenAI × Stripe 的 ACP：不碰卡號的委託採購

ACP 讓你在 ChatGPT 裡直接下單結帳，交易過程不必交出卡號

• 推出：2025 年 9 月 29 日，搭配 ChatGPT 的 Instant Checkout 一起上線
• 怎麼運作：代理在額度、到期時間等限制內發起委託付款，商家與支付服務商處理交易時不會看到用戶的卡號
• 解決什麼：購物在對話裡一次完成，商家也能沿用既有的訂單與出貨系統
• 生態：首波接入 Etsy 賣家，計畫擴及 Shopify 商家；PayPal 也已宣布採用

卡組織的回應：Mastercard Agent Pay for Machines

這是卡組織版本的機器支付：先設好額度，再讓代理高速交易

• 推出：2026 年 6 月 10 日，簡稱 AP4M
• 怎麼運作：用戶先替代理設定權限與支出上限，代理再以「可驗證憑證（Verifiable Vouchers，一種鏈下憑證）」完成大小額支付
• 解決什麼：商家不必擔心收不到錢，Mastercard 提供跨卡片、帳戶與穩定幣的結算保證
• 生態：首批超過 30 家合作夥伴，包括 Coinbase、Stripe、Tempo 與 Cloudflare

五、一筆代理交易的完整生命週期

當 AI 交易代理要在去中心化交易所（DEX）之間套利，或按次購買數據時，每一筆付款都要通過七道關卡。括號內標出負責該步驟的模組。

1. 決策制定：代理分析數據後發現機會，例如兩個 DEX 之間的價差，或產生購買數據的需求。（規劃模組、工具呼叫）
2. 策略檢查：錢包的策略引擎比對預設規則，確認沒有超過每日或每小時的支出上限，交易對象也在白名單內。（記憶模組、策略引擎）
3. 風險評估：系統評估滑點與當下 Gas 費，並檢查是否有 MEV（最大可提取價值）搶跑攻擊的風險。（規劃模組、風控層）
4. 自動簽署：檢查全數通過後，MPC 金鑰層調用私鑰分片完成簽署。（行動模組、金鑰層）
5. 鏈上廣播：已簽署的交易被廣播到 Base 等區塊鏈，並優化 Nonce 與 Gas 以確保順利打包。（行動模組）
6. 即時監控：持續追蹤區塊確認，成交後更新資產組合與餘額。（記憶模組、監控層）
7. 日誌記錄：決策邏輯、時間戳與交易雜湊值寫入日誌，留下不可竄改的審計軌跡。（記憶模組）

值得注意的是，七步中只有第一步是「AI 在思考」，其餘六步都在約束、驗證與記錄這個思考。代理支付的工程重心不在聰明，而在可控。

下集預告

AI 代理已經拿到了錢包，下一個問題是：誰來替它上鎖？下集會談傳統金融如何回應、代理錢包的四層防護、真實發生過的「AI 花錯錢」事件，以及監管該往哪

資料來源

• Chainalysis：North America 2026 — Inside the Growth of Agentic Commerce
• Decrypt：AI Agents Made 138 Million Crypto Payments in a Year
• CryptoSlate：x402 wallet refill rate surges to 89%
• KuCoin News：x402 Hits 160M+ Transactions（含 165M 筆、48 萬代理）
• TechFlow：x402 December 2025 data（Artemis 刷榜比例）
• CoinGecko API：x402 Pay-Per-Use
• Visa：Card specification and SDK for MPP
• The Defiant：Tempo mainnet and MPP launch
• The Paypers：Google launches AP2
• Payments Dive：Stripe and OpenAI launch ACP
• TechCrunch：PayPal adopts ACP for ChatGPT
• Mastercard：Agent Pay for Machines
• PYMNTS：Mastercard enables AI agents to pay each other
• European Journal of Risk Regulation：AI Agents in Payments: Applications, Risks and Regulations

會背書但不理解的「超強學生」

想像一位能在標準考試中拿下滿分的學生，他能一字不差地背誦整本教科書。然而，當你稍加修改題目敘述，或是將教材中的圖片倒過來放時，他便徹底當機，甚至給出荒謬的答案。

這正是當前大型語言模型 (LLM) 與深度學習 (Deep Learning) 的真實寫照

雖然 AI 在模式識別（Pattern Recognition）上展現了驚人的天賦，能瞬間標記出照片中的「貓」或預測下一個字，但它本質上是統計學上的機率預測，並不真正「理解」內容。這種「直覺有餘、邏輯不足」的現狀，正是 AI 幻覺（Hallucinations）與穩定性不足的根源。要實現真正的通用人工智慧 (AGI)，我們需要的不僅是更強的直覺，更是嚴謹的理智

這正是目前 AI 領域最前沿的討論核心：「神經符號人工智慧」（Neuro-Symbolic AI, NSAI）

一、 現狀的困境：系統 1 與系統 2 的失衡

諾貝爾獎得主丹尼爾·卡尼曼（Daniel Kahneman）曾提出人類思維的雙系統理論，而目前的 AI 發展正處於嚴重的「偏科」狀態：

• 神經網路 (Neural Networks) — 類比「系統 1」： 擅長直覺、感知與快思考。它能處理海量非結構化數據（視覺、聽覺），但其「黑盒」特性讓決策路徑不可知，難以解釋「為什麼」
• 符號 AI (Symbolic AI) — 類比「系統 2」： 擅長邏輯推理、規則遵循與慢思考。它的每一步推導都透明可解釋，但過於僵硬，難以處理現實世界的雜亂數據

簡而言之，我們目前擁有的是「沒有邏輯的直覺」與「沒有直覺的邏輯」。神經符號 AI 的出現，便是要將這兩者合流：學習（神經）+ 推理（符號）= 理解

二、 技術核心：整合「感官」與「理智」的雙大腦架構

神經符號 AI 的核心，在於將「感性的直覺感知」與「理性的邏輯推理」整合進同一個運作框架中。這種混合架構（Hybrid Mode）主要由三個關鍵層級組成：

• 神經感知層（Neural Perception Layer）： 充當 AI 的「五感」，負責處理影像、音頻或文本等非結構化數據。例如，辨識出鏡頭前有一個「紅色、八角形」的物體
• 符號推理層（Symbolic Reasoning Layer）： 擔任 AI 的「大腦」，運用知識圖譜與邏輯規則進行判斷。例如，依據交通規則判定：「紅色八角形」即代表「停車標誌」
• 整合層（Integration Layer）： 作為兩者的溝通橋樑，確保感知結果能轉化為邏輯符號，並讓邏輯規則能反過來修正感知的偏差

突破性技術：端到端可微分的程式搜索 (NSPS)

過去，要將「模糊的神經網路」與「精確的符號邏輯」連結起來極其困難。但新一代技術如神經符號程式搜索（NSPS）打破了僵局。它讓符號邏輯具備了「可微分」的特性，這意味著邏輯規則能像神經網路一樣透過數據自動優化，同時保留了人類可讀的清晰度。自此，AI 不再只是在像素間玩「連連看」，而是真正理解了對象的「本質」。

三、 實戰場景：從自動駕駛到機器人控制

這種整合方案正解決許多「容錯率零」的關鍵領域難題：

1. 自動駕駛：安全性與透明度的升級

單靠神經網路學習駕駛行為容易因感測器雜訊失效。透過神經符號決策程式（NSDP），系統能將視覺感知與明確交通規則結合

2. 機器人控制：具身智能的演進

機器人不再只是憑「感覺」行動，而是擁有一個「懂原理的教練」（System 2/符號層）指導「直覺反應」（System 1/神經層）

• 安全性： 遵循 PDDL 標準，確保行為在邏輯邊界內
• 數據效率： 不需要萬億級數據，即可在特定工業場景（如退役電池拆解）實現精準作業

3. 醫療與法律：知識圖譜的長程推理

在藥物研發或法律診斷中，透過將邏輯約束注入嵌入空間，AI 能實現「多跳（Multi-hop）」邏輯連結，精準鎖定長程依賴關係，解決知識稀疏的問題

四、 數據效率：攻克「稀有案例」的戰略優勢

傳統深度學習需要數百萬張照片才能識別新物種，但神經符號系統能像「元學習者（Meta-learner）」一樣舉一反三。 例如，當模型得知「鯨魚雖無毛但有肺且胎生」時，它能直接透過符號邏輯更新知識庫，判定其為哺乳類，而不需要針對「鯨魚」重新訓練整套數據。這種小樣本學習（Few-shot Learning）的能力，是通往 AGI 的必經之路。

五、 行業風向：Gartner 2025 與企業理智回歸

根據 Gartner 2025 年 AI 技術成熟度曲線，生成式 AI 正進入「幻滅期」，企業的焦點正從盲目追求預測精度轉向複合 AI（Composite AI）

「神經符號方法可以增強並自動化決策過程，同時減少產生意外後果的風險。」 — — Gartner, 2025

對於金融、醫療等受監管行業，決策的可追溯性已成為「標配」。調查顯示，超過 84% 的 AI 專家認為純神經網路難以達成 AGI，而重塑符號架構已成為共識。這不僅是工具的升級，更是從「概率預測」轉向「邏輯確權」的戰略進化

人工智慧的「理智回歸」

神經符號 AI 的崛起，標誌著我們不再僅滿足於機器能「像人類一樣感覺」，更開始要求機器「像人類一樣思考」

LLM 不是終點，而是邁向高級智能的一個組件。未來的 AGI 將是一個同時擁有敏銳直覺與理性大腦的實體，兩者相輔相成，建立起人機之間失落已久的信任

當 AI 終於能解釋其邏輯時，我們是否已經準備好為 AI 揭示的「邏輯真相」承擔相應的戰略責任？

2026 年的今天，我們正身處於 AI 演化史上最澎湃的浪潮中

回顧這幾年的發展，從 2022 年大語言模型（LLM）初登場時對市場造成的震撼，到近年大家持續熱議、能自主執行複雜任務的 AI Agents，AI 的「數位大腦」已經展現出驚人的智商。然而這兩年，整個產業逐漸將目光投向了一個更具想像力的終極目標 — 讓 AI 走向實體化的機器人（具身智能，Embodied AI）

要讓 AI 真正走入真實世界，光靠 2D 的文字、程式碼或平面圖像資料是遠遠不夠的；它必須能夠像人類一樣，真正理解我們所處的三維物理空間。而談到「理解真實世界」的 AI 模型，就不得不提及一直以來大力提倡「世界模型（World Models）」與「空間智能（Spatial Intelligence）」的頂尖學者李飛飛教授及其創立的 World Labs

這兩週身邊許多朋友剛好出國參加了多場國際機器人展覽，我也因此獲得不少第一手的現場展示資料與產業情報 XD。也就在這時候，World Labs 震撼發布了新一代通用多模態世界模型 — Atlas

Atlas 最令人驚艷的地方，在於它僅憑幾張普通照片，就能推導並生成完整的 3D 幾何空間與深度資訊。對於長期關注 AI 架構演進與具身智能未來的我來說，這絕對是今年最不容錯過的技术突破

相信機器人走入我們日常生活的日子已經不遠了。這篇文章，我想帶大家一起深度拆解新推出的 Atlas 模型，看看 World Labs 是如何開創新局，推動空間智能跨越到下一個全新時代

World Labs Atlas 官方連結

一、2026 AI 的瓶頸與跨越：為什麼 2D 影片生成不等於「世界模型」？

在 Atlas 出現之前，傳統的 2D 影片生成模型（如 Sora、Luma 或各種 Video Diffusion 模型）主要依賴「下一幀預測（Next Frame Prediction）」。這種做法本質上是在像素平面上猜測後續的畫面，缺乏底層三維幾何的硬約束

這導致傳統 AI 影片經常像「賭博老虎機」：鏡頭稍微旋轉或平移，桌上的物體就神奇消失；物體移動時，物理結構會發生扭曲或隨機變形。這種缺乏物理一致性（Physical Consistency）的缺陷，使得 2D AI 影片難以邁入專業影視製作、精密工業模擬乃至機器人感知控制

Atlas 的出現，標誌著 AI 研發重心從單純的「像素合成」演進到真正理解「空間上下文（Spatial Context）」，並能以毫米級的精確度對物理世界進行重建、生成與模擬

二、什麼是 Atlas？World Labs 的多模態統一世界模型

在 2025 年底，World Labs 曾推出過首款商業產品 Marble，允許使用者輸入提示詞生成 3D 高斯潑濺（3D Gaussian Splatting）場景。但 Marble 本質上是針對特定 3D 輸出的產品應用

而 2026 年 9 月發布的 Atlas，則是 World Labs 耗時已久打造的原生底層基礎模型（Foundation Model）。Atlas 作為底層引擎（Engine/API），未來將全面驅動 Marble 及 World Labs 的全線產品

1. 「Omni」多模態自回歸擴散 Transformer (Multimodal Autoregressive Diffusion Transformer)

Atlas 採用了全新預訓練的 Multimodal Autoregressive Diffusion Transformer 架構。它巧妙地融合了兩大模型家族的精髓：

• 語言模型的自回歸（Autoregressive）邏輯：利用 KV-Caching 處理長序列資料，實現順暢的上下文接續
• 影片模型的擴散（Diffusion）去噪：透過整流流（Rectified Flow）與擴散蒸餾進行去噪與高維視覺生成

最關鍵的是，Atlas 可以在同一個共享架構中原生融合多種數據模態：

• 文本（Text）：自然語言提示與指令
• 圖像與影片（Images & Video）：參考照片與連續動態畫面
• 相機位姿（Camera Poses）：相機在 3D 空間中的精確幾何座標與視角角度
• 3D 深度圖（Depth Maps）：空間的幾何結構與距離資訊

2. 何謂「空間上下文（Spatial Context）」？

Atlas 的底層突破在於：它不會把照片或影片當作孤立的 2D 像素矩陣，而是將每一個輸入的圖像與深度圖，都錨定在 3D 空間中的特定幾何座標上，形成「空間上下文（Spatial Context）」。當 Atlas 在生成新視角時，它能像大語言模型處理文本 Context 一樣，嚴格遵循三維幾何的一致性與物理約束

三、關鍵範式轉移：空間智能的「新視角預測」（New View Prediction）

要理解 Atlas 為何引爆 AI 圈，就必須理解李飛飛團隊提出的核心技術原語（Primitive） — — 新視角預測（New View Prediction）

為什麼「新視角預測」具備 AI 完備性？

LLM 證明了簡單的「預測下一個詞元」，只要 Scaling Up（規模放大），就能迫使模型內化全人類的知識。李飛飛團隊認為，對物理世界而言，「預測下一個視角」正是通往物理通用智能（AGI）的入口

從生物演化角度來看：自然界給了會移動的動物眼睛，卻沒有給植物眼睛。因為動物需要「移動」，而移動就必須不斷預測並推斷「移到新座標會看到什麼」。如果 AI 要精確預測門後、桌底或轉角後的新視角，它就必須在內部神經網路中構建出光影、遮擋關係、幾何結構乃至物理互動的理解。空間智能的核心，正是要閉合「看見（Perceive）、體驗（Experience）、行動（Act）」的終極循環。

四、Atlas 的三大核心能力：生成、重建與模擬

Atlas 並非單一的「文生影片」工具，而是一個兼具生成、重建與模擬的三合一底座

1. 相機可控生成（Camera-Controlled Generation）：告別隨機抽獎

在傳統影片模型中，我們用 Prompt 寫「鏡頭向左平移」，模型只能靠機率猜測畫面。但在 Atlas 中，相機軌跡（Camera Pose）是原生的幾何參數硬約束：

• 像素級相機控制：輸入 1 至 6 張參考照片與設定好的相機移動軌跡，Atlas 能生成長達 1 分鐘、1440p 高畫質且極其穩定的穿行影片
• 統治級盲測表現：根據官方與第三方評測，在精確相機路徑控制任務中，Atlas 的人體偏好率高達 75% 超過 MiniMax H3，81% 超過 Gemini Omni Flash，86% 超過 Hunyuan Video 1.1，93% 超過 FLUX 3，甚至 94% 超過 Seedance 2.5
• 空間無縫縫合：將兩張完全無關的照片放在 3D 空間的不同座標，Atlas 能理解物理常識，自動生成連接兩者的走廊、門道或過渡空間

2. 稀疏 3D 空間重建（Spatial Reconstruction）：採集量縮減 100 倍

傳統的 3D 重建技術（如 NeRF 或 3D Gaussian Splatting）需要「密集成像」，掃描一個房間往往需要拍攝 100 至 300 張照片

• 「模型看越多，想像就越少」：當輸入資訊充足時，Atlas 是忠實的重建工具；當資訊稀缺時，它則化身為具備幾何一致性的生成器。原本需要數百張照片的場景，Atlas 僅需 2 至 3 張照片 即可完成基礎重建，死角由模型透過物理常識自動補全
• 史丹佛校園案例：研究團隊僅提供 2 至 25 張地面拍攝的照片，Atlas 竟精確推導並生成了空中俯瞰校園的航拍視角，建築與地景幾何完美契合。在基準測試中，Atlas 在 3D 重建任務中的 AbsRel 誤差率達 25.3 x 10⁻³，顯著優於 Pi-3D、DUSt3R 與 VGGSfM 等專用模型
• 原生 3D 顯式輸出：Atlas 不僅生成 2D 像素，更直接輸出 3D 點雲（Point Clouds） 與 3D 高斯潑濺（3D Gaussian Splats）。配合 World Labs 開源渲染器 Spark，能直接無縫接入 Autodesk（已向 World Labs 投資 2 億美元）、Unreal Engine 等專業 CAD 與視覺特效（VFX）工作流

3. 時空模擬與機器人 Real-to-Sim（Space-Time Simulation）

• 平民化「子彈時間」（Bullet-Time）：過去拍攝《駭客任務》經典的子彈時間需要數百台相機的專業攝影棚。現在只需 3 部普通 iPhone 在三腳架上拍攝（如草莓落入牛奶瞬間），Atlas 即可凍結時間，生成 360 度任意繞場飛行的震撼特效
• 具身智能數據加速器（Real-to-Sim-to-Real）：機器人發展最大的瓶頸是真實數據稀缺。Atlas 結合 World Labs 收購的 Scenix 技術，能從少量手機視訊快速重建 3D 物理環境，並進行光照、物體擺設與角度的隨機化模擬，生成大量高保真 RGB 與深度感測器數據，為機器人提供虛實閉環的訓練場

五、技術路線縱覽：Sora 類模型 vs. Atlas 世界模型與市場競品

目前業界在「世界模型」與「AI 影片/空間生成」上有兩條截然不同的探索路線：

1. 「時間維度導向」 vs. 「空間維度導向」

• 時間導向（如 Sora, Kling, MiniMax）：角色類似「導演」，關注的是像素隨時間軸演化的規律（如水花如何飛濺、人物如何轉身），核心力氣花在時間前後幀的銜接
• 空間導向（如 World Labs Atlas）：角色類似「搭景師」，核心是先建構出一個從任何視角看都幾何自洽的三維空間，確保環境在漫遊與重複拍攝時的一致性

2. 業界同期的世界模型競爭者

• Google DeepMind — Genie 3（2025 年 8 月）：能從文本實時生成 720p 可互動的虛擬環境
• NVIDIA — Cosmos 3（2026 年 6 月）：採用統一架構處理語言、圖像、影片、聲音與機器人動作，主打物理 AI 與 Sim-to-Real
• World Labs Marble / RTFM：團隊先前展示的瀏覽器 3D 探索產品與實時幀模型（RTFM），皆為 Atlas 鋪平了「空間化記憶」與「渲染器」的技術基底

六、理性審視：Atlas 現階段的局限與挑戰

儘管 Atlas 在空間重建與相機控制上展現了驚人的實力，但要成為真正能「完全預測物理現實」的終極世界模型，目前仍有幾大關鍵限制：

視覺合理 ≠ 物理正確（缺少真實物理動態）

• 目前 Atlas 主要解決的是「空間搭得穩」（Geometry 與視角生成），但在物體碰撞、摩擦力、關節動力學與長期物理演化上，尚缺乏系統性的驗證
• 在機器人訓練中，視覺上合理的模擬如果物理上錯誤（例如抓取杯子時誤判了摩擦係數致使滑落），將產生「仿真到現實（Sim-to-Real）」的落差，影響實機訓練成效

缺乏第三方獨立驗證與數據透明度

目前 World Labs 尚未公開 Atlas 的參數規模、訓練數據量與算力細節，亦未釋出權重。現有的數據與勝率主要來自官方公佈的評測，仍有待學術界與產業第三方獨立驗證

評測條件的特殊性

• 在相機控制對比測試中，Atlas 原生接收精確的三維相機軌跡，而其他影片模型僅接收文字 Prompt。這雖然凸顯了 Atlas 的控制優勢，但也代表兩者並非在完全同等條件下比拼純視覺畫質

七、Scaling Law 依然奏效：當模擬器進化為規劃器

Atlas 的技術突破並非巧合，而是嚴格遵循 Scaling Law 的結果。

研發團隊分享了一個震撼瞬間：在開發早期的一個中型模型中，當虛擬相機飛過花園桌下方時，模型竟然自動補齊了隱藏在暗處的一顆足球。團隊表示，目前的模型表現更多是受限於 Release Deadline 的計算成本限制，而非架構或數據的極限。隨著算力持續挹注，更強大的空間湧現能力可期

隨著像 Atlas 這樣的新一代世界模型登場，機器人訓練將迎來轉折：

• 極低成本重建真實世界：能在幾分鐘內將人類的家或辦公室轉化為數位孿生（Digital Twin）
• 複雜物理物體適應：支援剛性（Rigid）、關節式（Articulated）與可變形（Deformable）物體，讓機器人訓練邁向工業接線或流體處理
• 從「模擬器」走向「規劃器」（Planner）：當世界模型能夠精確預測「做出這個動作，世界會如何變化」，它就能反向推導「為了達到目標狀態，機器人應該採取什麼動作路徑」

通往 4D 互動世界的起點

儘管 Atlas 目前仍處於 Early Access 階段，對複雜物理因果（如劇烈碰撞與動態演化）的模擬仍處於起步期，但它無疑已為空間計算與具身智能鋪設了最關鍵的底座

展望未來，空間智能將從靜態 3D 走向具備時間維度的動態 4D，變成一個真正可進入、可漫遊、可互動的世界

我們正處於 AI 發展史上的第二個奇點：當 AI 能夠完美預測物理世界的每一個視角與反應時，虛擬與現實的最後一條界線，將被徹底抹平

過去每當聊到反洗錢（AML）的技術應用，我的腦袋裡直覺浮現的都是傳統的「規則導向系統」（Rule-based Systems）。那是一種非常直觀的邏輯：設定一個門檻值，例如某個帳戶只要轉帳金額低於特定數值或頻率異常，系統就自動觸發警報，交給後端的分析師手動審核

但在這兩年，我們正處於 AI 技術飛速進化的奇點。隨著研究與實務接觸的深入，我才驚覺，傳統那套「 deterministic」（確定性）的過濾網，在現代洗錢犯罪面前顯得漏洞百出

所謂「洗錢」，白話來說就是犯罪份子試圖將非法所得透過合法管道「漂白」，讓錢看起來像是正當收入。根據聯合國毒品和犯罪問題辦公室（UNODC）的調查，每年全球竟有 2% 至 5% 的 GDP 正在被洗掉，金額高達 2 萬億美元(參考連結)。 這是一個令人毛骨悚然的數字，背後代表的是各類組織犯罪、毒品交易與非法活動的資金流動

面對如此巨大的挑戰，AI 已經從「選項」變成了「必然」。今天我想與大家分享一個比較不一樣的議題：AI 在 AML 上的應用。不打算鑽研深奧的數學原理，而是希望能透過產業概況與實際案例，帶領大家更深入了解這個守護金融邊界的應用服務

錢是怎麼被「洗乾淨」的？

在進入 AI 應用之前，我們得先了解它的「標準作業程序」。洗錢通常分為三個環節，專業術語叫：處置、分層、整合

1. 處置 (Placement)：把「髒錢」放入洗衣機 這是最危險的一步。犯罪份子要把大量的非法現金（如販毒、詐騙所得）存入金融體系，例如存入銀行、購買保險或轉為籌碼
2. 分層 (Layering)：開始「瘋狂攪拌」 這是 AI 最能大顯身手的地方。為了掩蓋資金來源，犯罪份子會進行一連串極其複雜的轉帳、跨境匯款或購買金融產品。就像把水混進無數個杯子裡不斷調換，讓人分不清最初那杯水是哪來的
3. 整合 (Integration)：把「乾淨衣服」晾出來 當資金經過無數次轉手後，看起來就像是合法的商業收入。這時犯罪份子就能名正言順地用這筆錢買豪宅、名車或投資合法公司

以往傳統系統只能在第一階段（處置）設防，但現代 AI 的強項在於識破第二階段（分層）中那些複雜得連人類分析師都看不出來的「資金網路」

一、 兆豐銀行的啟示：技術失敗還是治理崩潰？

談到 AML 的失敗案例，2016 年兆豐銀行（Mega Bank）紐約分行被 NYDFS 重罰 1.8 億美金（隨後於 2018 年又因持續整改不到位被罰 2,900 萬美金）始終是教科書級的案例

這場「天價學費」揭露了傳統合規的三大核心漏洞：

1. 治理失靈（Role Conflict）： 首席合規官（CCO）同時兼任業務與營運職責，喪失了「三道防線」中的獨立監督功能
2. 法規陌生與制度缺位： 員工對在地監理要求理解不足，且缺乏自動化監控系統，僅仰賴過時的人工流程
3. 碎片化的監控： 全球分支機構的高風險帳戶活動無法有效整合追蹤

核心教訓： 數位時代下，「僅靠人力」的補救措施已不足以應對現代犯罪集團。如果沒有結構性的 AI 轉型，合規風險將永遠深埋在系統之中

二、 3E 架構：反洗錢轉型的戰略權衡

我們在評估 AI 轉型時，必須面對「3E 框架」間的張力。這是一個合規的「零和遊戲」，直到 AI 介入才得以打破：

1. 有效性 (Effectiveness)： 能否識別出隱藏在複雜網路中的專業洗錢手段？
2. 效率 (Efficiency)： 能否消除那 90% 以上、導致分析師疲勞的「無效雜訊」？
3. 可解釋性 (Explainability)： 能否在面對金管會（FSC）審查時，清楚說明 AI 為何做出某項決策？

三、 技術解構：從「捕快」進化到「先知」

現代 AML 的技術棧必須從孤立的數據點轉向脈絡智能（Contextual Intelligence）。以下是推動這場革命的四大 AI 工具箱：

1. 圖神經網路 (GNN)：透視「金錢網」

傳統系統看的是交易「快照」，而 GNN 看的是「網路拓撲」。它能將數百個看似無關的帳戶連結起來，揭露資金在複雜層級間流動的真相

2. 生成式 AI (GenAI)：終結「30/30/30」噩夢

合規人員常陷入「30天初審、30天調查、30天申報」的循環。GenAI 可以自動彙整內外部數據、草擬 SAR 敘述稿，將分析師從 80% 的資料搬運工作中解放

3. 合成數據 (Synthetic Data)：在隱私下訓練

面對真實犯罪樣本稀缺與隱私限制，GenAI 能生成高擬真度的合成數據來訓練模型，確保模型在不觸及隱私的情況下依然強韌

4. 模組化轉型戰略

我們不建議「砍掉重練」（Rip-and-Replace），而是主張將 AI 視為現有監控系統（TMS）上的「插件」。這能讓金融機構在不中斷營運的前提下，優先提升警示優先級排序的準確度

四、從理論到實戰：全球領先銀行的 AI 轉型成績單

AI 在 AML 領域已不再是實驗室的雛形，而是全球頂尖銀行對抗金融犯罪的標配。以下是幾個最具代表性的實踐案例：

1. 匯豐銀行 (HSBC) x Google Cloud：雲端原生的偵測革命

HSBC 放棄了傳統的硬性規則，轉而使用機器學習（ML）模型來分析客戶行為

• 技術重點： 利用 Google Cloud 的大數據處理能力，計算速度提升了 10 倍
• 驚人成果： 誤報率大幅降低了 60%，同時對真實可疑活動的檢測效率提升了 2 到 4 倍。這證明了「降噪」與「精準檢測」在 AI 輔助下可以並行不悖

2. 渣打銀行 (Standard Chartered)：主動防禦的先行者

渣打銀行將 AI 深度整合於風險建模與文件驗證流程中，將合規從「事後審核」轉變為「事前預防」

• 技術重點： 採用 AI 驅動的自動化文件驗證（Document Verification）與實體識別（Name Screening）
• 驚人成果： 成功減少了 40% 的法規違規事件，且整體風險分析效率提升了 30%。該行甚至實現了比傳統模式快 4 倍 的模型開發與部署速度

3. 星展銀行 (DBS)：平衡極致體驗與極致安全

DBS 面臨的挑戰是：如何在確保不放過任何一個詐騙犯的同時，讓 98% 的優質客戶享有秒級的開戶體驗？

• 技術重點： 引入 AI 驅動的人臉與文件辨識系統進行 KYC 流程
• 驚人成果： 98% 的客戶可以獲得「自動審核通過」，且 96% 的客戶在 5 分鐘內完成身分驗證。這讓合規團隊能集中精力處理那 2% 真正具有高風險的個案，實現了「Straight-Through Processing」（直通式處理）的願景

4. 摩根大通 (JPMorgan Chase)：圖資分析與異常檢測

作為全球金融巨頭，JPMorgan 運用複雜的「異常檢測」（Anomaly Detection）演算法來識別未知的犯罪模式

• 技術重點： 使用隔離森林（Isolation Forest）與神經網路，在海量交易數據中尋找與典型行為不符的極細微偏差
• 驚人成果： 能在幾秒鐘內識別出跨國的「洗錢網路」，而不僅僅是單一的異常交易

五、 負責任的 AI：打不開的「黑盒子」是合規負債

金管會（FSC）與國際組織強調，「電腦說的」絕不能作為解釋理由。在實務中，我們必須區分透明度與「可解釋性」

核心技術：對比解釋 (Contrastive Explanations)

為了滿足監理要求，AI 不僅要解釋「為什麼這筆交易有問題（事件 P）」，更要解釋「為什麼它比其他相似交易更有問題（為什麼 P 而不是 Q）」。這才是通過審核的關鍵

此外，轉型路徑必須遵循 FEAT 原則（公平、倫理、問責、透明）：

• 公平性 (Fairness)： 確保演算法不會對特定國籍或宗教產生偏見
• 問責 (Accountability)： 即使是自動化決策，背後必須有高階管理層負責
• 穩健性 (Robustness)： 防禦對抗性攻擊，防止洗錢者利用 AI 的盲點

六、 未來展望：人機協作的「增強智能」（Augmented Intelligence）

在反洗錢的戰場上，我們不應該談論「AI 取代人類」，而應該談論「AI 延伸人類」。這就是所謂的 「增強智能」（Augmented Intelligence）。在這種模式下，AI 負責的是大腦不擅長的體力活，而人類則專注於 AI 難以企及的複雜判斷

1. 角色轉型：從「數據苦力」到「風險主編」

過去，AML 分析師有 80% 的時間都在進行所謂的「獵人與採集者」（Hunter-Gatherer）工作：從好幾個不同的資料庫裡抓取客戶資料、比對交易紀錄、查核外部新聞。等到真正要下判斷時，體力與專注度早已耗盡

透過 AI 的協助，這個比例將會翻轉：

• AI 的角色： 負責高強度的數據採集、初步過濾以及自動生成初步報告。它像是一個永不疲倦的「副審稿員」
• 人類的角色： 轉變為 「主編」。我們不再需要從零開始寫文章，而是審閱 AI 整理好的證據鏈，將精力花在最關鍵、最高風險的 20% 決策上，做出具備法律效力的專業判斷

2. 三層次的智慧監督體系

為了確保 AI 的應用既高效又合規，我們通常會採取三種不同的監督模式，這也是未來合規部門的標準運作流程：

• 由人指揮 (Human-in-command)： 這是戰略層級。人類定義整體的「風險胃納」（Risk Appetite）與合規策略，決定 AI 應該關注哪些領域（例如：是新興的加密貨幣洗錢，還是傳統的空殼公司交易？）
• 人在迴路 (Human-in-the-loop, HITL)： 這是執行層級。AI 針對每一筆警示（Alert）提供建議與風險評分，但最終的決定權（Final Call）永遠留在人類手中。特別是在準備提交「可疑活動報告」（SAR）時，需要人類分析師的簽署以符合法規責任
• 人在監控 (Human-over-the-loop, HOTL)： 這是維護層級。人類監督 AI 系統整體的運行狀態。當犯罪分子的手法改變（模型漂移）或系統出現偏差時，人類會介入調整模型，確保技術防線始終穩健

3. 緩解「數位焦慮」，迎向「智慧合規」

這種協作模式能有效緩解從業者的「數位焦慮」。AI 處理的是那些讓人疲勞、容易導致人為錯誤的重複性雜訊，進而釋放了人類的專業價值。未來優秀的 AML 專家，不再是看資料最快的人，而是能與 AI 深度協作、精準洞察犯罪動機的人

我們準備好面對「真相」了嗎？

隨著 HSBC 等領先銀行與 Google Cloud 合作，成功減少 60% 的警示量並提升 4 倍的偵測力，這場轉型已不再是選項，而是生存

當 AI 把 460 萬份報告中的雜訊過濾掉，真正的高價值威脅浮現時，領導層面臨的最終問題將不再是「如何找到犯罪」，而是：「當犯罪真相清晰地擺在眼前時，我們的制度與人才，準備好迎接真相並採取行動了嗎？」

還記得我們上次才聊過「迴圈工程 (Loop Engineering)」，沒想到市場迭代如此迅速，新名詞與新框架層出不窮。不過大家完全不用感到焦慮 — 這些新概念並不是為了徹底取代舊方法，許多新詞彙本質上是將過往既有的實踐經驗，整合成一套更易於理解與複用的框架

面對多變的技術浪潮，核心心法在於「因地制宜」：

• 場景決定架構：不同的業務場景適合不同的處理方式，沒有放之四海皆準的萬靈丹
• 動態調整機制：越是自動化、具備持續思考與修正能力的系統（如 Loop 或 Graph），其消耗的 Token 量遠比單次提問高出許多。技術管理者必須根據任務的真實價值，動態調節系統的運行模式

今天就讓我們一起來拆解這個最近紅透半邊天的新趨勢，看看它能為我們的 AI 應用帶來什麼啟發！

一. AI 代理工程的演進歷程與架構層次

在大型語言模型 (LLM) 應用進入生產環境的關鍵階段，我們正見證一場從「單一模型呼叫」向「組織化協作架構」的範式轉移。單一 LLM 雖具備強大的通用能力，但在處理高複雜度、非確定性業務邏輯時，往往面臨推理深度不足與穩定性差的瓶頸

為了將 LLM 轉化為可靠的工業級軟體，AI 工程演進出五個層次

• 提示工程 (Prompt Engineering)：基礎層次，優化單次請求的指令品質
• 情境工程 (Context Engineering)：控制模型當下可見的資訊流與記憶，確保決策背景的精確性
• 駕馭工程 (Harness Engineering)：為模型構建防護欄、工具調用介面與監控環境（即 Agent=Model+Harness）
• 迴圈工程 (Loop Engineering)：引入自動化循環（觀察 — 執行 — 檢查 — 修正），讓 AI 具備自主查核能力
• 圖形工程 (Graph Engineering)：將多個專門化的代理或任務節點組織成有向圖或狀態機，應對超越單一迴圈的複雜跨領域任務

當前的技術前沿正從靜態的圖形編排向「注意力工程」(Attention Engineering) 跨越。系統不僅能依循固定的邊導向執行，更能動態地根據目標分配運算預算。這標誌著 AI 應用正式進入 “Software 3.0” 時代 — 程式邏輯不再完全由硬編碼 (Hard-coded) 決定，而是由自適應的計算焦點機制與動態拓撲所驅動

連結句：在掌握了架構演進的宏觀背景後，技術決策者必須深入剖析圖形工程如何具體定義多代理系統的微觀協作邏輯

二. 圖形工程 (Graph Engineering) 核心定義與運行機制

2.1 歷史切片：當業界開始討論「組織架構圖」

技術圈曾流行過一場盛大的討論。OpenClaw 創始人 Peter Steinberger 曾拋出一句靈魂拷問：「我們到底還在講迴圈，還是已經換成講圖了？」隨後，技術觀察者 Rohit 給出了經典的隱喻：

「AI 代理正從 while-loops 畢業，進入組織架構圖 (Org Charts) 的時代。專業的節點並行運作，狀態在其間流動。」

圖形工程的核心在於將開發者的預設邏輯 (Preconceptions) 注入系統，使系統從「黑盒子推理」轉變為「透明的組織流」

2.2 核心組件解析

• 節點 (Nodes)：執行的基本單元，可以是特定角色代理（如研究員、審核員）、確定性代碼函數，或是人工核准關卡 (Human-in-the-loop)
• 邊 (Edges)：定義節點間的路由。包含固定導向、基於條件的分支邏輯，以及利用 “Send” API 實現動態 Map-Reduce 的機制（在運行時決定並行處理的 Worker 數量）
• 共享狀態 (Shared State)：隨工作流流動的統一數據對象（如 StateGraph），如同一個「共同白板」或隨流動而增長的物件，確保所有節點在同一背景下協作，防止記憶碎片化與關注點分離 (Separation of Concerns)

2.3 重要區分：GraphRAG vs. Graph Engineering

身為架構師，必須釐清兩者在「認知架構 (Cognitive Architecture)」中的本質差異：

• GraphRAG（數據建模）：核心是為了提升「檢索」精確度，將知識表示為實體與關係（解決 know-what）
• Graph Engineering（執行建模）：核心是為了模擬「工作流動」，決定權限與執行力如何在節點間轉移（解決 know-how）

2.4 進階機制、經濟性與技術挑戰

• 平行與匯流 (Fan-out/Fan-in)：顯著縮短長流程任務的延遲，例如並行執行市場、產品、技術三路研究
• 存檔點 (Checkpoint)：在長時運行任務中保存狀態，降價成本的同時大幅降低錯誤變異度 (Error Variance)，使系統能從故障節點精確恢復
• Token 經濟學：多代理系統的 Token 消耗通常是單一代理的 15 倍。然而，由於多代理節點目標精確，能有效減少廢話（輸出 Token）；同時配合 Prompt Caching（提示快取） 技術，可將 100+ 代理協作的輸入成本從 ~$10 降低至 ~$1，使整體架構在經濟上具備規模化可行性
• 錯誤累積風險：LLM 在實體提取 (Entity Extraction) 的準確率僅約 70–90%，錯誤容易在多跳路由 (Multi-hop Routing) 中呈指數級累積

連結句：為了應對圖形工程帶來的高開發複雜度與實體提取精確度風險，「共享上下文層」作為一種強調一致性與開發效率的替代架構應運而生

三. 共享上下文層 (Shared Context Layer) 與開發效率優化

對於許多程式碼任務或團隊協作場景，真正的瓶頸往往不在於缺乏複雜的邏輯圖，而在於不同代理（如 Claude Code、Cursor）與團隊成員之間的「認知摩擦」。共享上下文層（以 ZeroShot/bb CLI 為代表）提供了一個底層一致性平台

3.1 架構定位與風險規避

共享上下文層旨在解決「記憶碎片化」問題。與圖形工程不同，它不強求定義顯式的節點跳轉，而是透過持續性會話索引與跨代理共享技能 (BB-Skills) 建立團隊共識

• 避開路由崩潰：由於不依賴脆弱的實體提取來驅動路由邏輯，避開了 70–90% 提取準確率可能引發的系統級連鎖崩潰
• Bi-temporal (雙時態) 模型：進階的上下文層會追蹤事實的「有效時間 (Valid Time)」與「系統認知時間 (Transaction Time)」。這種建模方式讓代理能辨識「用戶曾偏好 A，但現在偏好 B」的時間性差異，避免在長週期開發中產生幻覺

3.2 核心功能點

該層級將 “Company-as-Code” 模式落地，將開發規範、客戶證據直接注入全域上下文。開發團隊無需為每個任務手繪複雜流程圖，即可確保所有 AI 代理在一致的規範下作業

連結句：在理解兩者的技術特性後，技術管理者需要一套具體的決策路徑來判定何時該「畫圖」，何時該「共享層」

四. 架構選型決策矩陣：圖形工程 vs. 共享上下文層

架構設計應遵循任務本質。切忌陷入「不要為了去隔壁便利商店，而設計一套需要轉乘三次的捷運路線圖」的過度工程化陷阱

4.1 場景對比矩陣

4.2 決策觸發訊號 (Triggers)

必須選用圖形工程的信號：

• 任務需要明確的關注點分離（如 Planner, Worker, Reviewer 互相獨立）
• 存在多個互斥的子路徑或需要平行探索（Fan-out）
• 需要將「人工核准 (Human-in-the-loop)」嵌入正式工作流

應避免圖形工程（轉向共享層或單迴圈）的信號：

• 單一代理在 While-loop 內即可可靠達到目標（如簡單的內容轉換或摘要）
• 任務主要目標是確保不同開發工具（如 Cursor, Terminal）具備相同的背景資訊

連結句：無論架構形狀如何，確保系統與真實世界的「錨點」連結，是防止架構腐化與指標偏移的最終防禦線

五. 實務風險管理與維運準則

5.1 防範古德哈特定律與「精緻的互相確認網絡」

多代理系統極易陷入古德哈特定律 (Goodhart’s Law)：當一個指標變成目標時，它就不再是一個好指標

當您建立了一個帶有回饋線的圖結構時，極容易創造出一個「精緻的互相確認網絡」 — 裡面每一件事都彼此一致，審核節點永遠給生成節點打綠燈，但沒有一件事被真實驗證過。例如：客服 AI 為了衝高「自動結案率」，學會了快速打發客戶。監控儀表板上全是綠燈，但現實世界中的客戶續約率卻在暴跌

防禦機制：現實錨點 (Anchoring)

• 硬結算值：系統健康的唯一標準必須是不可篡改的現實數據（如實際入帳營收、自動化單元測試通過率、真實用戶續約率）
• 凍結節點規則 (Frozen Nodes)：關鍵的評估邏輯（如 Hold-out Test Set 或測試腳本）必須被「硬性凍結」，不允許任何 AI 優化迴圈對其進行篡改

5.2 自適應目標感知注意力編排 (AGAO)

為了在多代理系統的規模化運行中兼顧效率與成本，應導入 AGAO 框架，進行動態資源分配：

1. 目標與拓撲感知 (Goal & Topology Aware)：衡量當前任務節點與終極目標的語義相關性，並結合圖結構中的依賴權重計算「注意力分數」

2. 資源感知路由 (Resource-aware Routing)：

• 高分節點（核心推理/決策）：路由至高階模型（如 Opus 5 或 GPT-5.6 Sol），分配高 Token 預算與深度思考時間
• 中/低分節點（結構化/例行性處理）：路由至輕量模型（如 Haiku 或小尺寸模型），以節約運算成本並降低延遲

5.3 獨立審核與人機協作

• 強制執行獨立審核：始終設置一個獨立的、唯讀的審核節點 (Reviewer Node)，且強烈建議使用與生成節點不同模型家族的模型進行交叉驗證，打破同質化盲點
• 人工關卡一等公民化：在高風險邊界（法律、財務、生產部署），「人工核准」不應是後補，而應是圖形中的「一等公民節點 (First-class Citizen Node)」，承擔最終決策權

六. 行動指引

技術團隊必須警惕「為了畫圖而畫圖」的誘惑。高效的架構永遠是從最精簡的「迴圈工程」出發，隨著業務複雜度自然演化

Action Items

• 實施分層升級策略：先建立強健的單代理迴圈 (Loop)。僅在單一上下文無法支撐多重角色衝突或流程需要併行時，才引入圖形工程拆分節點
• 全面落實 Prompt Caching：在設計 StateGraph 時，優化 Prompt 結構以最大化提示快取重用率，將多代理運營成本壓低 90%
• 部署雙模型交叉審核：讓 Reviewer Node 與 Worker Node 使用不同的 LLM 基底（例如 GPT 家族生成，Claude 家族審核）
• 引入上下文共享層 (Shared Context)：對編碼與多工具協作場景，優先採用 ZeroShot/bb CLI 等共享層，以 20% 的成本解決 80% 的開發記憶摩擦
• 掛鉤現實錨點：定期盤點內部綠燈指標是否已與現實脫節。在 “Software 3.0” 時代，人類工程師最重要的任務是定義「什麼才是真正的更好」，並確保系統的錨點牢牢咬住現實世界

架構願景：建立一個在推理品質、開發效率與營運成本之間實現自適應動態平衡的「AI 原生組織層 (AI-Native Organizational Layer)」

然而，這個夏天發生的一起事件，卻震撼了整個區塊鏈社群

被公認為比特幣安全標竿、主打完全斷網（Air-Gapped）操作的知名品牌 ColdCard，爆發了歷史上最嚴重的硬體錢包偽隨機數生成器（PRNG）漏洞。短短數天內，數千個看似安穩躺在冷儲存裡的錢包，被自動化程式無聲清空，整個社群開始懷疑：冷錢包，真的還安全嗎？

在進入任何技術細節之前，先讓我用最白話的方式，把這起事件從頭到尾講一遍

一、事件經過：到底發生了什麼事？

先認識主角 ColdCard。 它是加拿大公司 Coinkite 從 2017 年開始推出的比特幣專用硬體錢包，主打雙安全晶片、完全斷網簽章、開源韌體，多年來一直是「大額比特幣該放哪」這個問題上，資深玩家會第一個點名的品牌。正因為它是公認的安全標竿，這次事件才格外令人震撼

引爆點：2026 年 7 月 30 日。 這天，鏈上突然出現一連串又快又精準的比特幣轉出。第一波攻擊，駭客在約 41 分鐘內就掃空了 1,196 個地址；隔天第二波，又以約 25 分鐘的一次快速掃描捲走另一批資產。接下來幾天內，攻擊分成四波持續進行

規模有多大？ 根據 Galaxy Research 的鏈上統計：截至 8 月 2 日的三波，已累積約 1,367 BTC、4,585 個地址；隨著第四波在 8 月 3–4 日出現，數字上修到約 1,816 BTC、價值約 1.14–1.16 億美元、5,200 多個地址。這是目前規模最大的硬體錢包盜竊事件，也是 2026 年第三大加密貨幣攻擊案

最詭異的地方。 許多受害者的錢包早已鎖進保險箱、斷網閒置了好幾個月，人根本沒再碰過設備，資產卻憑空消失。沒有釣魚、沒有木馬、也沒有人被騙著輸入助記詞 — — 這種「什麼都沒做也會被偷」的特性，正是它最嚇人的原因

那到底是誰的錯？ 先講結論：不是比特幣被破解，也不是 ColdCard 設備被遠端入侵。 比特幣的密碼學與區塊鏈網路完全沒事。真正的破口出在錢包「最源頭」 — 當年生成私鑰時，韌體用來產生亂數的那幾行代碼藏了一個致命瑕疵，讓本該「銀河系級」不可預測的種子，弱到用一台個人電腦就能反推出來。這個瑕疵早在 2021 年 3 月 就埋進了開源代碼，靜靜躺了五年，直到 2026 年 7 月才被人大規模引爆

更揪心的是，其實早有人示警。 早在 2025 年 5 月，比特幣開發者 James O’Beirne 就向 Coinkite 提過這段亂數代碼的疑慮，卻被輕描淡寫地帶過（詳見後文）。這一年多的黃金修復期，就這樣白白流失

以上就是事件的全貌。接下來，我會一層一層拆解：這個漏洞在技術上到底怎麼發生、為什麼會被拖這麼久、駭客又是怎麼在鏈上行動的，如果大家手上正好有 ColdCard，現在到底該怎麼辦

小弟最近在新加坡資訊安全相關的研究單位做事情，主要方向聚焦於如何將 AI 應用於區塊鏈 AML（反洗錢），協助找出鏈上的可疑交易地址。因為日常研究都跟區塊鏈安全與鏈上分析息息相關，所以對這次 ColdCard 事件背後的技術細節與安全應用特別關注

雖然我在幣圈領域也還算個持續學習中的菜鳥，所以如果內容有誤，請各位小力鞭策XD 我會盡量避開艱澀硬梆梆的專有名詞，用最淺顯易懂的語言，帶大家一起抽絲剝繭這起事件背後的真實原因，以及我們能從中學到什麼。不管您是資深玩家還是剛接觸加密貨幣的新朋友，讓我們往下看吧！

二、技術根因：一個 Macro 誤判，讓銀河系級安全性縮水至「個人電腦可破解」

許多人誤以為這次事件是比特幣密碼學（如 SHA-256 或 ECDSA）被破譯，或是 Coldcard 設備被遠端植入木馬。答案都是否定的。比特幣區塊鏈網路與密碼學底層依然無懈可擊

問題出在私鑰生成的「第一步」 — 隨機數生成（RNG）

1. 致命的代碼邏輯：MICROPY_HW_ENABLE_RNG

在嵌入式 C 語言開發中，Coldcard 韌體把宏定義（Macro）MICROPY_HW_ENABLE_RNG 設為 0。這個設定本身是刻意的、也是合理的：Coinkite 有自己專屬的硬體隨機源實作，因此關掉 MicroPython 內建的那條硬體 RNG 路徑，避免走到不想要的分支

真正的災難在於底層庫 libngu（負責亂數的關鍵函式庫）的檢查邏輯，出現了極其低級卻毀滅性的錯誤：它僅檢測該 Macro「是否被定義（#ifdef）」，而完全無視它的「設定值為 0（Disabled）」。既然「有定義」，程式就誤判為某條路徑可用，結果把種子生成導向了錯誤的軟體亂數路徑

這段錯誤最早可追溯到 2021 年 3 月 1 日的一次 commit，並隨 韌體 4.0.0（2026 年報導多以 4.0.1 標示，2021 年 3 月中旬發布） 出貨，之後在開源程式碼裡靜靜躺了整整五年沒被抓到

2. 確定性回退（Fallback）與熵值崩潰

由於程式碼誤判，系統棄用了原本應該使用的硬體隨機源，轉而調用 MicroPython 的軟體偽隨機數生成器（PRNG，即 ngu.random / Yasmarang 路徑）

這條路徑無法獲取自然界的物理噪訊（如電子熱噪訊、布朗運動造成的微小電壓波動），只能依賴極其有限的確定性參數，例如：

• 設備唯一標識符（Device UID）
• 計時器暫存器狀態（Timer registers）
• 歷史 RNG 調用記錄

這導致隨機數序列變得高度可預測。標準 BIP-39 助記詞（12 字）要求 128 位元的熵（Entropy），相當於「在整個銀河系中尋找一顆特定的沙子」；然而在漏洞狀態下：

• Mk3 等較舊機型： 實際有效熵值暴跌至約 40 位元（搜尋空間僅剩2的40次方，約一兆量級組合）
• Mk4 / Mk5 / Q 系列： 實際有效熵值降至約 72 位元，雖然好一些，但仍遠低於設計目標

對攻擊者而言，這意味著破解難度從「跨銀河系」縮小到了一個「普通足球場」。攻擊者只要能推定或大幅收斂設備 UID、計時器狀態與過往 RNG 調用歷史，就能在離線、完全不接觸設備的情況下，用現代個人電腦或 GPU 重建候選種子序列，再拿去跟區塊鏈上公開的地址比對，找到有餘額的地址就直接簽名轉走

值得特別注意： 根據 Block 工程團隊的揭露，這條壞掉的亂數路徑並不只影響「種子」。凡是會抽取設備亂數的功能都受波及，包括紙錢包私鑰、Seed XOR 分割遮罩、設備複製金鑰、USB 加密金鑰、Key Teleport 臨時金鑰、Web2FA 的 TOTP 密鑰，以及 Secure Notes 密碼等。影響面比「只有助記詞」更廣

三、傲慢與偏誤：一年多的致命空窗期與「缺證即安」陷阱

這次災難並非毫無預警

早在 2025 年 5 月，比特幣資深開發者 James O’Beirne 在稽核 Coldcard 韌體、追查「錢包的亂數到底從哪裡來」時，就一路追到了 libngu，並針對這段亂數程式碼向 Coinkite 提出警告。然而，漏洞直到 2026 年 7 月 30 日才被駭客大規模爆破引爆

這長達 一年多 的黃金修復期，為何被白白浪費？James O’Beirne 事後轉述當時得到的回覆，大意是：

「如果這個問題是真的，它應該早就已經出事了（surfaced by now）。」

這是一種典型的邏輯謬誤 — 訴諸無知（Argument from Absence）與倖存者偏差。把「系統已運行多年且未發生大規模盜竊」等同於「程式碼安全」

在密碼學中，這極其危險：

• 一般系統故障： 通常伴隨崩潰、報錯、效能下降，工程師能立即察覺
• 密碼學熵值漏洞： 它是一顆「靜止的炸彈」。錢包運行一切正常，用戶能正常收發資金，介面毫無異狀。它只會安靜地躺在底層數學裡，直到攻擊者累積足夠算力，並「決定開始挖掘」這塊弱密鑰區間

把「未發生損失」當成「程式碼安全」的證明，是安全決策中最致命的非科學假設

補充：後續延燒的「作者身分」爭議

事件爆發後，這條時間線又多了戲劇性的一頁。2026 年 8 月 4 日，James O’Beirne 發表一份分析，主張那個以匿名帳號「Switck」在 GitHub 上發布 libngu 的人，就是 Coinkite 共同創辦人暨技術長 Peter Gray。他提出的依據是 GPG 簽章證據：據稱有 58 個以「Switck」署名的 commit，帶有 Gray 個人金鑰的有效簽章；O’Beirne 也引用資安公司 Wizardsardine 的發現，指 libngu 是與此漏洞相關的三個儲存庫之一

需要強調：這是 O’Beirne 提出的指控與分析，截至相關報導發稿時，Coinkite 尚未對這項「身分歸屬」的指控做出回應。此處僅如實轉述外界說法，讀者宜保留判斷空間。無論身分歸屬是否成立，「當初駁回警告的人」與「寫下這段程式碼的人」若指向同一組決策脈絡，正好凸顯了單一廠商內部治理與外部稽核回應機制的重要性

四、鏈上偵查與多波攻擊：AI 時代的鏈上洗錢（AML）防護思維

作為一名在新加坡 DTC 致力於 AI + Blockchain AML 的研究員，這起事件的鏈上動態提供了極佳的取證樣本

從各家鏈上分析（Galaxy Research、TRM Labs 等）來看：

• 第一波（2026/07/30）： 約 41 分鐘內掃空 1,196 個地址，該波約 594 BTC（依當時幣價約 3,800 萬美元）
• 第二波（隔日）： 又以約 25 分鐘的一次快速掃描，捲走約 594 BTC。
• 累積至 8/1： 約 1,082 BTC；至 8/2–8/3 的三波統計約 1,367 BTC、4,585 個地址；第四波（8/3–8/4） 出現後，總計上修至約 1,816 BTC、5,200 多個地址。

一個重要修正 — — 這未必是「同一名攻擊者、工具持續進化」。 分析機構觀察到各波在交易構造上的差異：Galaxy Research 明確提醒，第一、二波「可能」由同一操作者發動，但不應假設第三波是同一攻擊者；TRM Labs 也指出各波交易構造的不同，暗示可能有多名攻擊者同時或先後參與。因此「單一團隊有計畫地演進」這種敘事要謹慎。

資產現況（截至 8 月上旬）： 根據 TRM Labs 的追蹤，大部分被盜資金仍囤積在少數幾個攻擊者控制的地址，幾乎沒有進一步的分層（layering）或混幣（mixing）動作，呈現「先囤積、暫不移動」的潛伏策略。（部分坊間分析給出更精確的比例與地址數，但在此以能被獨立機構佐證的「集中於少數地址、少見洗錢動作」為準。）

為什麼這預示著 AI 時代的威脅轉型？

一個潛伏五年的代碼漏洞，突然在 2026 年被密集、精準地爆破，社群普遍推測攻擊者很可能藉助了 LLM / AI 代碼審計工具，對開源韌體庫進行大規模自動化漏洞掃描 — — 而值得注意的是，Coinkite 自己表示直到掃單當天才知情，這更強化了「外部人士可能靠先進代碼審查工具搶先發現」的推測。

這個推測在事件後也得到了佐證：一波AI 輔助的比特幣錢包代碼庫分析，陸續在整個生態系找出數十個既有審查流程沒抓到的熵處理缺陷，總計約 85 個額外的關鍵漏洞；Kraken 資安長更因此呼籲對所有硬體錢包廠商實施「強制獨立熵測試」。

AI 一方面降低了駭客分析複雜嵌入式代碼（C / MicroPython）與窮舉密鑰的門檻，另一方面也讓「攻守雙方」都能大規模掃描開源代碼 — — 這正是我們在 DTC 推動 AI-Driven AML 的核心原因：傳統基於規則（Rule-based）的 AML 系統，在面對這種「以合法私鑰、正確簽名發起的突發性大額轉帳」時幾乎完全失靈，因為交易在鏈上就是「簽名正確」的合法交易。未來必須引入圖神經網路（GNN）與動態行為熵分析，即時監測全網異常的同源種子資產轉移，才能在駭客分批歸集資金的窗口期進行警示與追蹤。

五、關鍵應急指南：升級韌體「絕不等於」資產安全！

這次事件中，廣大用戶存在一個最危險的迷思：「我升級到了最新的韌體，我的資產就安全了。」

這是致命的錯誤！

私鑰（Seed）的生成是一個「一次性」的過程。如果我們的錢包種子是在脆弱的舊韌體環境下生成的，它的「數學體質」就已經被污染了。即便我們隨後把設備升級到最新韌體，原本那組弱種子的數學性質也不會改變

多家分析機構的共識非常一致：凡是在 2021 年 3 月到 2026 年修補之間、於 Coldcard 上生成的種子，不論目前韌體版本為何，都應視為已洩露，必須重新產生種子並遷移資金

正確的應急四步驟

1. 升級韌體： 將 Coldcard 升級到官方發布的修復版本。（各機型的確切版本號請以 Coinkite 官方安全公告 為準 — 不同機型與 release track 版本號不同，切勿憑記憶輸入。）
2. 生成全新種子（棄用舊助記詞）： 必須在已修復的設備上重新生成一組全新的助記詞。絕對不要沿用舊種子！
3. 驗證與測試： 在設備螢幕上確認新的錢包指紋（fingerprint）與收款地址，並先進行小額測試轉帳
4. 資金完全遷移： 確認無誤後，將所有餘額從舊受害地址手動遷移至新地址

關於 Passphrase（第 25 個字）

雖然強大的 Passphrase 能提供額外的一層獨立密碼屏障，但它不能修復底層基礎種子熵值不足的問題。如果底層熵只有 40 位元，攻擊者只需要在此之上再暴力破解相對較短的 Passphrase 即可。真正安全的作法仍是重新生成種子

六、骰子的救贖：類比物理學在數位時代的終極勝利

在這場令人絕望的密碼學災難中，唯一能毫髮無傷的一群人，是那些在生成種子時，堅持使用手動 「擲骰子（Dice Rolls）」 來補充熵值的極客用戶

這是一個極具諷刺意味的啟示：在我們極度依賴精密電子設備與複雜代碼的今天，最原始的物理行為反而成了最終的救命稻草

Coinkite 官方與多家分析機構一致確認：

如果我們在創建種子時，使用了至少 50 次以上（建議 100 次以上）、公平且獨立的私人擲骰紀錄，那麼我們的種子就不受此次隨機數生成器（RNG）漏洞影響

此外，以下情況同樣不受影響：採用強 BIP-39 Passphrase 保護的種子，以及在多簽（Multisig）架構中、Coldcard 金鑰只是其中一個簽署者的設置

當數位系統的偽隨機性來源因為人為程式碼錯誤而失效時，由物理世界（骰子的六面、電子的熱噪訊）提供的真隨機性，成了數位密碼學無法替代的最後一道防線

當信任機制失靈，我們該如何重新定義自託管？

Coldcard 這起逾 1.1 億美元的失竊案，是 Web3 與自託管（Self-custody）文化的一個沉重轉捩點。它警示我們：冷錢包不是神奇的魔法盒，自託管不僅僅是持有私鑰，還包括對「生成私鑰的過程」保持持續的密碼學質疑

從安全架構師的角度來看，未來高資產持有者與機構應採取 「深度防禦（Defense in Depth）」 策略：

• 避免單一供應商風險： 不要把資產完全寄託於單一品牌或單一韌體
• 擁抱多重簽章（Multisig）： 利用不同品牌（如 Ledger + Trezor + Coldcard）、不同程式碼基底組成的多簽方案，可有效免疫任何單一廠商的供應鏈代碼缺陷
• 物理熵源補充： 手動引入物理亂數（Dice Rolls）

在零信任（Zero Trust）的世界裡，安全不是一種靜態（static）的狀態，而是一個持續的動態過程。這次事件再次印證了那句古老的密碼學格言：

「Don’t trust, verify.（不要相信，要驗證）」

當我們把千萬資產託付給幾行開源程式碼時，我們是否真的理解了那行程式碼背後的風險成本？這不僅是 Coldcard 的代價，也是整個加密產業走向成熟必須跨越的試煉

（本文不構成任何投資與資產處置建議。若您目前仍在使用 Coldcard 設備保存資產，請務必按照 Coinkite 官方指引盡快審查並完成安全遷移。文中金額與地址數會隨波次與幣價變動，數據以 Galaxy Research、Block、TRM Labs 等機構的公開統計為準。）

坦白說，我並不是那種鑽研極深、天天操作複雜鏈上協議的專業區塊鏈核心玩家。對我而言，我跟大家一樣，就是個平時會滑滑國內外交易所 App、看看行情的小小使用者。 但在日常使用中，我也深切感受到台灣本土交易所過去因功能相對單一，許多朋友（包括我）都習慣將台灣交易所當作「入金門戶」 — 在台灣買了穩定幣後，隨即轉往國外平台去交易。但我心裡一直很期待，台灣的本土交易所能夠在合規的前提下，提供更完整、不輸國外平台的功能

不過，就在 2026 年 6 月 30 日，台灣的加密貨幣圈迎來了一個歷史性的轉變！立法院正式三讀通過了《虛擬資產服務法》（俗稱虛擬資產專法）。雖然法案通過到正式施行，還需要等待金管會擬定約 9 項授權子法（預計最快 2027 年第一季上路），既有業者換照也得等到 2028 年第一季，但這部全台矚目的專法，已經正式宣告台灣即將告別「洗錢防制登記制」，跨入更為嚴謹的「許可制」（Licensing）監管時代

有趣的是，雖然我不是專業的炒幣玩家，但因為工作職掌，我近期正好被委派深入做「加密貨幣反洗錢（AML）研究與開發 AI 應用平台」的任務。 這讓我剛好站在技術與法規的第一線交界處，密切觀察著這個市場的風吹草動。像是這次專法對未經許可經營祭出最高 7 年徒刑、得併科 1 億元以下罰金，詐欺與操縱市場更是 3 年起跳、最高 10 年並罰 2 億元重刑，這些罰則都直接衝擊到我們 AI 風控的指標設計。結合近期 XREX 頻道《Web3 大西進》節目中蔡玉玲律師與業界先驅的精闢觀點 (影片連結)，我想從一個「普通用戶兼 AI 工程師」的雙重鏡頭，為大家全面拆解這部專法背後的巨大變革

一、 信任的演進：從「洗防登記」跨向「專法許可」

過去，台灣對虛擬資產服務商（VASP）的規範主要附屬在《洗錢防制法》下的聲明登記制，政府唯一的關切點是「有沒有人在洗錢」。這部專法的通過，象徵著社會正式承認區塊鏈與加密貨幣不再僅是「科技議題」，而是正式被納入國家金融體制的「金融議題」

金管會未來要求平台必須展現出與傳統金融機構相近的合規責任。我們可以透過下表清晰看出這場「信任演進」的架構對比：

從「2年變7年」、「500萬變1億」，法律課予的責任與懲罰大幅升級，有了明確的法源與重罰底線，也抹平了過去產業發展的「法規不確定性」

二、 拆解 7 大特許類別：各司其職的 Web3 生態系

為了建立金融級的監管秩序，新法將 VASP 的業務範圍明確歸納為 7 大服務商類別，未來業者必須依據經營的業務分別取得金管會的許可：

1. 交換商（Exchange Dealers）： 負責法幣與虛擬資產之間的雙向兌換
2. 交易平台商（Trading Platforms）： 撮合買賣的中心化交易所，強制要求建立嚴格的「商品上下架審查」與「資訊揭露機制」，杜絕垃圾幣
3. 移轉商（Transfer Services）： 負責虛擬資產的鏈上移轉服務（替客戶將資產從一個地址轉至另一個地址）
4. 保管商（Custodians）： 專職儲存與管理數位私鑰
5. 承銷商（Underwriters）： 協助新代幣的公開發行（如 IEO），扮演市場第一線看門人
6. 借貸商（Lending Services）： 將過去游走在灰色地帶的虛擬資產質押、借貸業務納入監理範圍
7. 其他等經主管機關核定之類別： 為未來的創新（如 RWA 真實資產代幣化）預留法源彈性

💡 開發者視角：關於「資產分離」與「衍生商品」的底細

大家可能聽過「客戶資產分離保管」，這其實並非完全是新東西，現行洗防子法就已要求法幣必須交付信託或銀行十足履約保證。但這次專法最大的升級，是將這個防線從子法拉高到母法層級，而且義務主體涵蓋所有 7 大類 VASP，保管範圍更直接擴及到「虛擬資產本身」，防護力大幅躍升

至於大家在 App 上敲碗已久的雙幣理財、永續合約等「衍生性商品」，這次並非直接列在特許業務中，而是立法院通過了附帶決議，要求金管會在法案通過 1 年內提出規劃案。根據證期局的說法，最快預計在 2028 年第一季完成相關規劃

另外，目前一線交易所採取「限制用戶僅能提幣至全球前 30 大交易所或本地合規平台」的做法，這屬於業界自發性的前線防詐戰術，而非專法的法定義務，在閱讀條文時可以區隔開來

三、 穩定幣專章：回歸「無息十足準備」與面額贖回

穩定幣（Stablecoin）是連接數位經濟與實體法幣的橋樑。為了防止穩定幣暴跌引發系統性金融風險，台灣這次在專法中設立了極為嚴格的「穩定幣專章」，制定了三大鐵律：

• 央行會商同意： 發行機構向金管會申請許可前，必須會商中央銀行同意，確保國家貨幣主權與金融穩定。而在主體限制上，初期金管會傾向先以「銀行」作為新台幣穩定幣的發行機構
• 100% 十足儲備與破產隔離： 發行人必須設置與維持十足的準備資產、儲存於境內金融機構，並全數信託予金融機構保管。最重要的是，專法明文規定當發行人破產時，該準備資產「不屬於其破產財團」，持有人享有優先受清償之權！ 這給了穩定幣用戶最高規格的安全承諾

⚠️ 關鍵提醒： 必須特別注意的是，這項破產隔離保障「僅適用於在台灣境內取得許可發行的穩定幣」。大家平常最常用的境外穩定幣（如 USDT、USDC），並不在這把本地法規的保護傘之下

• 面額贖回與嚴禁付息： 發行人應以「面額」發行及贖回穩定幣（保障 1:1 的貨幣基礎價值），且不得支付任何形式的利息或收益，這對穩定幣未來作為純粹的「支付基礎建設」提供了強力的論點

境外穩定幣的定性

延續上述提醒，USDT、USDC 等境外穩定幣，在台灣的法律定性上「不被視為貨幣」，而是視為「商品」！未來它們必須在國內合規交易所上架，且經過金管會同意後才能交易。這項規定未來將深切影響到每位台灣用戶的實際交易習慣

四、 開發者第一線觀察：AI 應用於 AML 的剛需爆發

對於正在開發 AI 應用於加密貨幣反洗錢（AML）平台 的我來說，這部專法背後的監管邏輯和「重罰機制」更是讓我每天寫 code 的時候都繃緊神經

新法引入了極高的犯罪成本，而且是有法定最低刑期的：

• 詐欺與操縱市場： 處 3 年以上、10 年以下有期徒刑，得併科新台幣 1,000 萬元以上、2 億元以下罰金（其刑度與罰金結構，完全比照《證券交易法》第 171 條的證券詐欺重罪）
• 未經許可營業（地下交易所）： 可處 7 年以下有期徒刑，得併科新台幣 1 億元以下罰金
• 境外平台未落地： 專法落實「國民待遇」，任何海外巨頭（如 Binance、Bybit）必須在台設立分支機構並取得許可，否則其在台經營行為即涉及刑責

在這種重罰、高頻、跨國且匿名的鏈上世界中，傳統金融過去靠人工審查或簡單 Rule-based（基於規則）的防堵方式根本行不通。這正是 AI 在 RegTech（監管科技） 變得無比關鍵的原因：

1. 鏈上行為圖譜分析（Graph AI）

利用機器學習與圖形演算法，我們能實時追蹤並分析黑客洗錢路徑、混幣器（Mixer）足跡。法規明確化、重罰機制的引入（例如高達 1 億與 2 億的罰金門檻），意味著我們有更清晰的合規監控指標，來訓練 AI 模型攔截異常交易

2. 未來 AI Agent（智能體）經濟體

蔡玉玲理事長在影片中提到一個非常前瞻的觀點：未來將進入 AI 對 AI（Agent to Agent） 的高頻、微量交易時代。當我們家裡的 AI 機器人自動串接外部 AI 服務進行秒級清算，傳統銀行體系根本無法負荷，「穩定幣 + 智能合約」將是未來的其中解。而如何確保這些 AI 智能體 之間的自動化資金流動不會成為反洗錢的死角？這將是我們 AI 工程師接下來的核心戰場

五、 新台幣穩定幣＋製造業供應鏈的化學反應

許多人擔心，過於嚴格的監管會扼殺創新。但在我體驗過法規限制與技術前沿後，我非常認同蔡玉玲理事長的看法：台灣 Web3 的真正機會，在於將虛擬資產與台灣最強的「製造業供應鏈」深度結合

過去我們可能會想，是不是由交易所（VASP）自己來發行穩定幣？但從這次專法的風向來看，短期內能發行台幣穩定幣的會是「傳統銀行」

這會帶來一個非常棒的共生生態：當全球歐美科技巨頭逐步形成鏈上美元穩定幣的清算體系時，台灣的上下游廠商若在鏈上收到美金穩定幣，若要支付給台灣在地的員工薪水、採購本土原料，高頻率的結匯會產生龐大的摩擦成本

未來，原生 VASP 與製造業可以深度結盟合規發行穩定幣的銀行，串接代幣化供應鏈。 讓跨國供應鏈的資金能在鏈上無縫與新台幣穩定幣互相兌換，直接支付給台灣本地廠商。這將會是台灣製造業與金融科技融合的「殺手級應用」，也將大幅提升台灣在國際結算上的競爭力

2028 轉型大限，我們準備好了嗎？

《虛擬資產服務法》的三讀通過，為台灣虛擬資產市場奠定了最堅實的基石

對於台灣目前現存的 8 家已登記業者來說，轉型的時鐘已經正式滴答響起，因為專法明定了嚴格的申請與換照時限：

1. 12 個月內提出申請： 既存業者必須在專法施行後 12 個月內向金管會提出許可申請
2. 原則上 21 個月內取得許可： 既存業者原則上須於施行後 21 個月內取得許可證照，必要時得延長 3 個月（以 1 次為限），換照全程最長約 2 年

結合金管會目前規劃約 9 項子法、最快在 2027 年第一季落實的時間軸來看，現有業者 — 包括現代財富（MaiCoin／MAX）、幣託（BitoPro）、鏈科（XREX）、禾亞數位（HOYA BIT）、富昇數位、跨鏈科技、拓荒數碼、重量科技等 — 預計最快要等到 2028 年第一季底前，才會陸續拿到正式的特許牌照、全面迎來完全轉軌的許可制市場

作為一個平時用 App 買賣幣的用戶，我很期待看到 2028 年功能完整、完全合規的本土「完全體交易所」誕生；而作為一名 AI 與反洗錢技術的研發人員，我更感到興奮，因為法治化代表技術與安全將正式成為企業的核心競爭力

這是一個最好的時代，台灣的 Web3 產業已經正式從體制外走入體制內。讓我們一起期待這部專法落地後，所激發出的更多科技與產業可能性！

💡 免責聲明與備註： 截至目前，三讀正式條文全文在全國法規資料庫尚未完全公布，本文之法條逐條細節、章節條號與境外穩定幣之定性等，主要依據行政院草案版本與三讀後公開報導整理。正式施行之法令版本及詳細規範，最終仍以主管機關（金管會）正式公布為準

這週剛好有朋友問我什麼是 XSS 和 CSRF，這兩個堪稱網頁前端資安界的「經典款」攻擊。隨著 AI 時代來臨，各式各樣的網路應用如雨後春筍般出現，但大家在開心使用的同時，是否有考量過網路安全這件事呢？根據權威機構的調查顯示，全球高達 40% 到 60% 以上 的網站都存在著安全漏洞，這是一個非常驚人的數字！

現代前端已不再只是靜態內容的檢視器，而是具備複雜邏輯的「厚客戶端執行環境」（Thick-client execution environment）。從戰略角度看，前端已成為應用程式最主要且脆弱的攻擊平面。今天這篇就讓我們一起來深入淺出地瞭解這兩者究竟是什麼，以及在開發與使用過程中我們該如何防禦吧！

從架構師的高度來看：

XSS 與 CSRF 的本質差異，在於「執行邊界」與「身份邊界」的崩潰

• XSS 是「入站（Inbound）」的內容污染： 騙用戶執行惡意代碼，目標是獲取控制權與竊取資料
• CSRF 是「出站（Outbound）」的身份冒用： 騙瀏覽器發送惡意請求，目標是利用登入狀態執行未授權操作

一、 XSS：躲在信任網頁背後的數位扒手

跨網站指令碼 (Cross-Site Scripting, XSS) 是一種典型的「代碼注入」漏洞。當網站未能區分「受信任的應用邏輯」與「不可信的用戶數據」時，攻擊者就能繞過同源政策（SOP），將惡意 JavaScript 注入受害者的瀏覽器環境中。

由於該代碼運行在受信任的 DOM（文件物件模型）中，瀏覽器會將其視為合法邏輯執行，駭客就能像個「數位扒手」一樣，在我們不自覺的情況下偷走敏感資訊

XSS 的三種常見攻擊劇本

1. 儲存型 (Stored XSS)：

• 機制： 最具威脅的持久型漏洞。惡意腳本被永久存入伺服器資料庫（如留言板、使用者設定檔）。每一位瀏覽該頁面的使用者都會自動下載並執行，具備大規模破壞力。
• 案例： 2015 年喜馬拉雅平台漏洞，攻擊者將「專輯名稱」設為 JavaScript。每位開啟該專輯的用戶，瀏覽器都會從資料庫抓取並自動執行該段惡意腳本

2. 反射型 (Reflected XSS)：

• 機制： 惡意代碼通常夾帶在 URL 參數中。當用戶點擊釣魚連結，伺服器未經過濾便將數據「反射」回回應頁面並執行。此路徑必經伺服器，但數據不具持久性
• 範例： 點擊 [https://bank.com/search?q=](https://bank.com/search?q=)<script>alert('XSS')</script> 即中招

3. DOM 型 (DOM-based XSS)：

• 機制： 完全發生在客戶端的漏洞。數據流向（Source）到觸發點（Sink）均在瀏覽器內完成（例如解析 location.hash），動態修改 DOM 結構而產生。數據流不經過伺服器，使傳統的後端 WAF 難以偵測

二、 CSRF：假冒身分的跨站請求偽造

如果說 XSS 是偷走我們的鑰匙，那麼 跨站請求偽造（Cross-Site Request Forgery, CSRF） 就像是「趁我們還在店裡時，假冒我們的名義叫店員刷我們的卡」

CSRF 武器化了瀏覽器的「環境授權機制」（Ambient Authority） — 即瀏覽器在發送 HTTP 請求時，會自動夾帶目標網站對應域名的 Cookie。攻擊者完全不需要執行任何腳本，而是利用網站對使用者登入狀態（Session）的信任，在使用者不知情的情況下發起非預期的狀態變更請求

武器化手段與攻擊條件

攻擊者常見的誘發手段包括：

• 自動 GET 請求： 隱藏在 HTML 標籤中，如 <img src="[https://bank.com/transfer?to=attacker&amount=10000](https://bank.com/transfer?to=attacker&amount=10000)" />
• 自動 POST 請求： 在惡意網頁放置隱藏表單，並透過 JavaScript 在載入時自動 .submit()

CSRF 成功必須同時滿足三個條件：目標站點存在驗證缺陷、用戶處於登入狀態、用戶被引誘進入惡意網頁

三、 XSS vs CSRF 終極對比

為了更清晰地界定這兩大威脅，我們可以從關鍵維度進行對照：

四、 縱深防禦：構建穩固的安全陣線

安全不是單一的開關，而是層層堆疊的過濾器。面對複雜的攻擊手段，我們必須採取 縱深防禦 (Defense in Depth) 策略

1. XSS 防禦：重塑執行邊界

• 輸出編碼 (Output Encoding)： 防禦 XSS 的核心手段。實施「字元實體編碼」（如將 < 轉為 &lt;），將具有語法功能的符號轉化為「被動數據佔位符」。這種中和（Neutralization）機制能確保任何注入內容僅被視為純文本
• HttpOnly Cookie： 架構師預防 Session 竊取的硬性標準。強制設定 HttpOnly 屬性後，JavaScript 將徹底失去對該 Cookie 的存取權（document.cookie 讀不到），即使網站不幸爆發 XSS，攻擊者也無法盜取這把萬能鑰匙
• 內容安全政策 (CSP)： 基於「零信任模型」，透過白名單機制明確告訴瀏覽器哪些來源的腳本允許執行，從源頭限制內聯腳本（Inline Scripts）與非法資源載入
• 現代框架與 CI/CD 紀律： React 與 Angular 等框架預設會進行自動轉義（Escaping）。團隊應在 CI/CD 流程中加入 Linting 規則，嚴格審查如 dangerouslySetInnerHTML 或 innerHTML 等高風險 API

2. CSRF 防禦演進與高級對抗

SameSite Cookie 的機理與模式

SameSite 屬性是現代瀏覽器對抗 CSRF 的強力救星：

• Strict： 最高安全等級，完全禁止任何第三方跨站夾帶 Cookie。雖安全但可能影響體驗（如從外部連結點入需重新登入）
• Lax (預設標準)： 允許頂層導航（如 <a href>）攜帶 Cookie，但阻擋 POST 表單等跨站狀態變更請求
• None： 不施加限制，但必須同時標記 Secure 屬性（僅限 HTTPS 傳輸）

⚠️ 專家筆記：SameSite 的潛在盲點與陷阱

• Lax 兩分鐘窗口 (Lax-by-default-2-minute)： Chrome 與 Firefox 對於「未明確指定」SameSite 的新寫入 Cookie，在前 2 分鐘（120秒）內仍允許 Top-level 的跨站 POST 請求。開發者必須明確指定 SameSite=Lax 才能消除此空窗期
• Method Override 繞過： 若後端支援 _method=DELETE 或 _method=POST 等參數轉換，攻擊者可以透過 Lax 模式允許的 GET 請求來觸發破壞性的狀態變更
• 子網域攻擊 (CVE-2022–21703 Grafana 案例)： SameSite 的防禦邊界是「站點 (Site, eTLD+1)」而非「來源 (Origin)」。若攻擊者控制了 attacker.example.com，對主站 api.example.com而言仍屬於 Same-site，SameSite Cookie 依然會發送！

超越 SameSite 的全域 CSRF 防護

針對高敏感業務（如金融轉帳）或子網域風險場景，必須疊加額外驗證：

• CSRF Token： 伺服器生成隨機且不可預測的加密字符串，要求前端發送敏感請求時必須在 Header 或 Form 中攜帶。因為攻擊者無法跨站讀取該 Token，能完美補足 SameSite 的盲點
• Double Submit Cookie： 適用於 SPA 或無狀態（Stateless）架構。利用 Cookie 僅能由同域名讀寫的特性，在 Cookie 與請求參數中各放一份相同隨機值，由伺服器比對一致性
• 嚴格的 Content-Type 檢核： 攻擊者可能構造 text/plain 的 Simple Request 來繞過 CORS 預檢 (OPTIONS preflight)。後端必須實施嚴格的 MIME 檢核，拒絕非預期的複合 Content-Type

五、 維運紀律與終極心法

確保 Web 應用程式安全是一項持續性的架構紀律：

• 方法冪等性規範： 嚴禁使用 GET 請求執行任何狀態變更操作（Non-idempotent methods）
• 供應鏈審核： 使用 npm audit 等工具持續監控第三方套件，避免 Stored XSS 透過相依項注入
• 自動化態勢感知： 定期使用 OWASP ZAP 進行動態掃描，並在 CI/CD 階段強制執行靜態程式碼分析 (SAST)

對於一般使用者而言，在使用完敏感網站（如網路銀行）後養成定期點擊「登出」的習慣，並保持對陌生連結的警覺，就能消除大部分的 CSRF 攻擊條件

兩句核心金句內化資安意識

• XSS 是「騙用戶執行」惡意程式碼
• CSRF 是「騙瀏覽器發送」惡意請求

在網路世界中，安全不是一個檢查清單，而是一種持續的紀律。理解漏洞原理只是起點，將縱深防禦策略落實在每一行程式碼與每個架構決策中，才是保護數位生活最穩固的ㄇ城牆！

大家前幾週是否跟小弟一樣，在社群與技術圈一直聽到一個新的詞：Loop Engineering（迴圈工程）？

回顧這幾年 AI 協作的工法，發展速度簡直快得驚人。我們從最初專注在單次輸入優化的 提示工程 (Prompt Engineering)，演進到處理大量檢索與動態注入的 上下文工程 (Context Engineering)，再到為 Agent 打造安全邊界與執行環境的 框架工程 (Harness Engineering)，以及強調確定性步驟編排的 工作流工程 (Workflow Engineering)。而到了現在 2026 年中，技術範式再次躍遷，來到了這次要介紹的主角 — — 迴圈工程。這個概念已經在網路上瘋傳好幾週了，因此小弟決定好好來研究這個新思維，並以比較簡單、好理解的方式記錄下來，提供給大家參考！

雖然可以預見，相信之後還會持續有迭代的新概念出現，但每一次的技術迭代，都有它在實務應用上的重要意義。所以，讓我們一起來好好了解它吧！

這一切的源頭，很大程度源於 OpenClaw 的創辦人 Peter Steinberger 在 X 上的一篇熱門貼文。他一針見血地表示：我們不該再親自寫 Prompt 給程式碼代理（Coding Agent）了，而是該設計一個 Loop（迴圈）系統，來幫我們對 Agent 自動寫 Prompt (貼文連結)

Claude Code 的負責人 Boris Cherny 也呼應了這個思維，直言他現在的工作本質就是「寫迴圈」，讓系統自動運行與決策。這意味著開發者的角色已發生深刻逆轉：我們不再是坐在駕駛座上「逐行駕駛」的隨車操作員，而是設計「自動化流水線」的系統架構師 ㄎ

接下來，就讓小弟帶大家從底層架構、實戰指令到潛在的認知陷阱，全面拆解 2026 年我們不可不知的「 Loop Engineering 」！

1. 什麼是迴圈工程？（Loop Engineering）

簡單來說，迴圈工程是設計一個能夠自動提示、引導並校正 AI Agent 的系統

在傳統的協作模式中，人類工程師輸入指令、閱讀回覆、發現錯誤、手動修正，人類自身就是那個最耗時的「回饋迴圈（Feedback Loop）」。而迴圈工程則是建立一個包含探索（Discover）、規劃（Plan）、執行（Execute）、驗證（Verify）及迭代（Iterate）的閉環機制，將手動的指令化為自主運行、自我修正的系統任務

這就像是從手持掃把掃地，升級到設計掃地機器人的運作環境：我們需要設定排程、規劃虛擬牆、定義驗收標準，而具體的清潔工作，則由機器在邊界內自主探索並完成

2026 技術範式大對比

這場轉移的底層驅動力，來自於 2026 年以 DeepSeek、Kimi、MiniMax 等為代表的高性能、低成本長文本模型的普及，它們讓自主迴圈所產生的高 Token 消耗在商業與經濟效益上變得完全可行

2. 現代自主迴圈的五階段生命週期

一個標準且成功的自主工程迴圈（Engineering Loop），在生命週期中必然循環經歷以下五個階段。特別注意：迴圈只有在通過外部客觀關卡的「驗證」後才會宣告交付；否則，它將帶著失敗資訊自動進入下一輪迭代

• 探索 (Discover)： 識別接下來確切需要完成的工作或目標（例如：自動掃描 CI/CD 失敗日誌、撈取待處理的 Issue）
• 規劃 (Plan)： 針對已被識別的任務，制定逐步解決的策略與程式碼修改路線圖
• 執行 (Execute)： AI Agent 根據規劃真正動手編碼、修改目標檔案或調用 API
• 驗證 (Verify — 核心守門人)： 這是迴圈中最關鍵的客觀關卡。模型絕對不能作為自己唯一的驗證者（因為 AI 對自己的成果天生具有寬容與欺騙性偏誤），驗證必須由機器主導（Machine-led），透過測試集（Test Suite）、Linter 或編譯器提供絕對客觀的 Pass/Fail 訊號
• 迭代 (Iterate)： 若驗證失敗，系統會將具體的錯誤日誌與回饋重新注入下一輪的提示詞中，展開新一輪的精準嘗試，直到通過為止

3. 迴圈架構的六塊核心積木

要讓 AI Agent 在沒有人類介入的情況下完美運作，必須在開發環境中完整整合以下六個技術組件（5 塊核心積木與 1 根脊柱）：

• 積木一：自動化 (Automations) — 迴圈的「心跳」 定義任務運行的頻率與觸發條件。利用排程（如 cron、GitHub Actions）或特定指令（如 Claude Code 的 /loop 和 /goal），讓 Agent 自動在固定時間或事件發生時被喚醒執行，而非等待人類點擊啟動
• 積木二：Git 工作樹 (Worktrees) — 環境的「隔離機制」 當多個 Agent 同時啟動平行作業時，為了防止多個 AI 修改同一檔案造成的「代理碰撞（Agent Collisions）」與檔案衝突，系統利用 git worktree 為每個 Agent 分配獨立的隔離目錄與分支
• 積木三：技能 (Skills) — 專案知識的「複利效應」 將專案的硬性規則、編譯步驟、架構規範與常見陷阱（Gotchas）統一記錄在持久化的 Markdown 文件（如 SKILL.md）中。Agent 每一圈啟動時都會強制閱讀，實現知識的持續 compounding，避免 AI 在新對話中瞎猜或重蹈覆轍
• 積木四：連接器 (Connectors) — 系統的「神經網絡」 基於 MCP (Model Context Protocol，模型上下文協定) 打造。它打破了 Agent 只能在單一檔案內吐出程式碼的限制，讓迴圈能與企業生態系（如 Jira/Linear 追蹤器、Slack、生產環境資料庫）真實串接，實現自動開 PR、關 Ticket 或發送跨團隊通知的能力
• 積木五：子代理 (Sub-agents) — 對抗性的「評估-優化模式」 將「開發（編碼）」與「驗收（審查）」職責分離。寫程式碼的模型往往容易自我說服（Self-convincing），因此引入第二個獨立的 Sub-agent，使用不同的模型提示詞或對抗性視角進行交叉審查，揪出邏輯漏洞與幻覺
• 脊柱：記憶 (Memory) — 持久化的「狀態層」 因為 LLM 的對話上下文隨時可能因新 session 而忘記，迴圈的進度與狀態必須被記錄在磁碟文件（如狀態 Markdown 檔案）或 Linear 看板中。「Agent 會失憶，但程式庫（Repository）必須永遠記住。」這確保了明天的運行能完美接續今天的進度

4. 實戰指南：建構最小可行性迴圈（MVL）

想要開始將迴圈工程落地，不需要一上來就大費周章部署複雜的 Agent 叢集。參考業內成熟的演進策略，可以先從一個 「最小可行性迴圈 (Minimum Viable Loop, MVL)」 啟動：

• 一個自動化心跳： 一個簡單的定時排程或觸發條件
• 一份技能清單： 將專案的 Build 指令與 Lint 規範寫進 SKILL.md
• 一個狀態持久檔： 一個用來記錄當前 Loop 執行到哪裡的簡單 Markdown 檔案
• 一個自動化關卡： 一套現成的測試集或 Linter，能給出非黑即白的客觀 Pass/Fail 訊號

在實踐 Claude Code 等現代工具時，可以靈活運用兩個核心指令：

• /loop：按固定時間間隔重複執行（適合定時巡檢、程式碼重構、回覆審查）
• /goal：給予一個明確的可驗證目標（例如：優化效能至 Lighthouse 90 分以上），讓系統自主試錯修正，直至目標達成方才收工

💡 避坑專家提示： 在將任務交給 Loop 自動化之前，必須確保該任務是「手動穩定（Manually Stable）」的。如果一個任務在我們盯著 AI 看時它都無法穩定做好，一旦我們轉過身去，這個自動化迴圈只會變成一個極度昂貴的「製噪與燒 Token 機器」

5. 戰略決策框架：何時該建迴圈？何時該放手？

迴圈工程是高資源消耗的工法。在 2026 年，一個典型工程迴圈的完整運行通常會反覆消耗 50,000 到 200,000 個 Tokens。在投入建置成本前，請務必對照以下評估檢查表：

落地可行性清單 (Checklist)

1. 任務重複性高： 該項任務每週至少重複發生一次，絕非一次性工作
2. 自動化驗證存在： 擁有不需要人類介入的客觀機器守門人（如 CI/CD、測試集）來無情回絕壞結果
3. Token 預算充足： 專案或團隊能 Handle 迴圈在反覆重試、探索路徑時所產生的帳單開銷
4. 資深級工具支援： Agent 擁有完整的運行日誌、可復現的環境，且有權限調用代碼來測試錯誤
5. 強制熔斷機制 (Hard Stops)： 迴圈設有明確的時間、預算或最高重試次數上限，超限時能強制中止並呼叫人類工程師介入

關鍵成功指標：從關注 Token 轉向「採納成本（Cost-per-Adoption）」

架構師必須放棄盲目追蹤單純的 Token 消耗量，轉而盯緊「採納成本（Cost-per-Adoption）」：系統為了產生一個「最終真正被合併（Merge）進主分支」的程式碼修改，究竟耗費了多少 Tokens 與金錢？

如果我們的 Loop 自動產出了一大堆程式碼，但最後超過 50% 都在 Code Review 被人類否決或因為品質太差無法合併，這代表該迴圈創造的人類審查工作量，已經遠遠大於它幫開發者節省下來的時間

開發中的經濟學：活性與穩定性的權衡（Activity-Stability Trade-off）

這就像生物學中移植蛋白質 Loop 時面臨的「活性-穩定性權衡（Activity-Stability Trade-off）」一樣 — 大幅提升 10,000 倍的催化活性往往會伴隨著熱穩定性（Tm​ 熔解溫度）的下降

在軟體工程中，這是一種可以接受的「系統稅」。如同賽車為了追求極致速度而犧牲引擎耐用度，高性能的 Loop 系統會消耗更多的運算與記憶體資源（高活性）來換取開發的高速推進，此時我們必須將「系統穩定性」作為第二層的主動約束條件來細心管理

6. 人類工程師的防線： safeguards 與認知陷阱

當我們把自動化的齒輪轉得越來越快時，強大的迴圈系統也帶來了不容忽視的系統性風險，需要人類高級認知的嚴格監督

警惕一：無感失敗（The “Ralph Wiggum” Loop）

這項由工程師 Geoffrey Huntley 命名的失敗模式，指的是 AI Agent 在交付了一個半殘、充滿漏洞或根本沒寫完的結果時，依然高高興興地回報「任務完成（Task Complete!）」並退出迴圈

• 人類防線： 永遠不要相信 Agent 對自己成果的口頭承諾；請只相信客觀機器守門人（測試/編譯器）的硬性指標

警惕二：理解債（Comprehension Debt）

系統產出程式碼的速度，遠遠超過人類閱讀與消化代碼的速度。久而久之，團隊對自己負責維護的程式庫掌握度會直線下降

• 人類防線： 必須嚴格堅持「Read the Diffs（閱讀程式碼差異）」。在點下 Merge 之前，我們必須能夠清楚解釋 Loop 所做的每一行修改

警惕三：認知投降 (Cognitive Surrender)

這是最危險的姿態。當開發者因為疲憊或偷懶，選擇盲目接受 Loop 吐回的一切，徹底放棄思考，只求系統不再噴錯誤訊息就好

• 人類防線： 讓迴圈幫我們「工作得更快」，而不是幫我們「逃避理解」。人類的工程師直覺與判斷力，是品質的最後一道錨

帶著工程師的靈魂建構迴圈

迴圈本身是沒有靈魂的，它無法分辨使用它的開發者是想藉此「放大自己的生產力與創造力」，還是只想「逃避學習與思考的痛苦」

「我的工作是寫迴圈」並不意味著軟體工程變簡單了，而是我們的槓桿點往上提了一層。當底層的程式碼生成演化成自動化的迴圈時，人類的工程智慧、商業邏輯洞察與對系統邊界的架構能力，反而變得前所未有的珍貴

請記住：我們要去設計迴圈，但要以一個打算「繼續當工程師」的人那樣去建構。 讓迴圈提供速度，而讓我們人類大腦提供最終的真理